OpenClaw < 2026.3.11 - Permissão de Execução da Lista de Permissões (Allowlist) com Correspondência Excessiva via Normalização de Caminho POSIX

A vulnerabilidade CVE-2026-32973 no OpenClaw, com uma pontuação CVSS de 9.8, representa um risco crítico. É causada por uma falha na função matchesExecAllowlistPattern que não normaliza corretamente os padrões de execução. Especificamente, a função converte para minúsculas e utiliza correspondência de curingas (glob matching) de forma incorreta ao processar caminhos POSIX. Isso permite que atacantes contornem as listas de permissão de execução (exec allowlists) utilizando o curinga '?' para fazer correspondências de segmentos de caminho inesperadas. Um atacante pode aproveitar esta vulnerabilidade para executar comandos ou acessar arquivos que não estavam destinados a ser acessíveis, comprometendo a segurança do sistema. A severidade do problema reside na facilidade de exploração e no potencial impacto na confidencialidade, integridade e disponibilidade do sistema.

Organizations deploying OpenClaw for any purpose, particularly those using it in environments with untrusted input or where command execution is a core functionality, are at risk. This includes users relying on OpenClaw for data processing, scripting, or automation tasks where user-provided data influences command execution paths.

• python / server:

import os
import subprocess

def check_claw_version():
    try:
        result = subprocess.run(['openclaw', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version and float(version.split('.')[2]) < 11:
            print(f"OpenClaw version is vulnerable: {version}")
        else:
            print(f"OpenClaw version is patched: {version}")
    except FileNotFoundError:
        print("OpenClaw not found.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking version: {e}")

check_claw_version()

• generic web: Examine OpenClaw logs for unusual command execution attempts, especially those containing wildcard characters or unexpected path segments.

1. 2026-03-29Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-03-29
3. Modificada2026-03-30
4. EPSS atualizado2026-04-06

A solução para mitigar CVE-2026-32973 é atualizar o OpenClaw para a versão 2026.3.11 ou superior. Esta versão corrige a forma como matchesExecAllowlistPattern lida com os padrões de correspondência, evitando a sobreposição de caminhos. Enquanto a atualização é aplicada, recomenda-se implementar medidas de segurança adicionais, como restringir as permissões de execução aos usuários e processos necessários e monitorar o sistema em busca de atividades suspeitas. Aplicar esta atualização o mais rápido possível é crucial para proteger os sistemas OpenClaw de possíveis ataques. A falta de atualização deixa o sistema vulnerável à exploração.