OpenClaw < 2026.3.11 - Exec Allowlist Pattern Overmatch via POSIX Path Normalization

De CVE-2026-32973 kwetsbaarheid in OpenClaw, met een CVSS score van 9.8, vormt een kritiek risico. Het komt door een fout in de functie matchesExecAllowlistPattern die patronen niet correct normaliseert, wat leidt tot een exec allowlist omzeiling. Specifiek zet de functie om naar kleine letters en gebruikt het glob matching op een manier die overmatcht op POSIX paden. Aanvallers kunnen dit uitbuiten door de '?' wildcard te gebruiken om padsegmenten op onbedoelde manieren te matchen. Dit maakt het mogelijk om commando's uit te voeren of toegang te krijgen tot bestanden die niet bedoeld waren om toegankelijk te zijn, waardoor de beveiliging van het systeem wordt aangetast. De ernst van het probleem ligt in de gemakkelijke uitbuitbaarheid en de potentiële impact op de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem.

Organizations deploying OpenClaw for any purpose, particularly those using it in environments with untrusted input or where command execution is a core functionality, are at risk. This includes users relying on OpenClaw for data processing, scripting, or automation tasks where user-provided data influences command execution paths.

• python / server:

import os
import subprocess

def check_claw_version():
    try:
        result = subprocess.run(['openclaw', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version and float(version.split('.')[2]) < 11:
            print(f"OpenClaw version is vulnerable: {version}")
        else:
            print(f"OpenClaw version is patched: {version}")
    except FileNotFoundError:
        print("OpenClaw not found.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking version: {e}")

check_claw_version()

• generic web: Examine OpenClaw logs for unusual command execution attempts, especially those containing wildcard characters or unexpected path segments.

1. 2026-03-29Disclosure

   disclosure

1. Gereserveerd2026-03-17
2. Gepubliceerd2026-03-29
3. Gewijzigd2026-03-30
4. EPSS bijgewerkt2026-04-06

De oplossing om CVE-2026-32973 te mitigeren is het updaten van OpenClaw naar versie 2026.3.11 of hoger. Deze versie corrigeert hoe matchesExecAllowlistPattern overeenkomende patronen verwerkt, waardoor path overmatching wordt voorkomen. Tijdens het toepassen van de update wordt aanbevolen om aanvullende beveiligingsmaatregelen te implementeren, zoals het beperken van uitvoeringsrechten tot noodzakelijke gebruikers en processen, en het monitoren van het systeem op verdachte activiteiten. Het tijdig toepassen van deze update is cruciaal om OpenClaw-systemen te beschermen tegen potentiële aanvallen. Het niet updaten laat het systeem kwetsbaar voor uitbuiting achter.