🇰🇷 한글 설명
OpenClaw Prometheus 진단 플러그인 2026.9.3 미만 버전에서 인증된 메트릭 엔드포인트에 대한 operator.read 권한 검증이 누락되었습니다. 이로 인해 읽기 권한이 없는 인증된 사용자가 운영 메트릭 문서를 조회하여 내부 정보를 노출할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 원래는 볼 수 없는 시스템 운영 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 인증은 되었지만 읽기 권한이 없는 계정이 시스템 상태 정보를 가져갈 수 있는 문제입니다.
🇺🇸 원문 (English)
The OpenClaw Prometheus diagnostics plugin (@openclaw/diagnostics-prometheus) before version 2026.9.3 does not enforce the operator.read scope on its authenticated metrics endpoint. In deployments using an identity-bearing Gateway authentication mode such as trusted-proxy, a caller whose effective role has no read scope can retrieve the diagnostics document even though ordinary read methods reject the same identity, disclosing operational metrics to an authenticated profile intentionally limited below read access. Shared-secret Gateway callers already hold the documented full operator scope and are not affected. The issue is fixed in 2026.9.3; as a workaround, disable the Prometheus endpoint or ensure every identity that can reach it is intended to hold operator.read.
📍 영향받는 시스템
OpenClaw Prometheus diagnostics plugin (@openclaw/diagnostics-prometheus) version < 2026.9.3
⚔️ 공격 벡터
권한이 제한된 인증된 사용자가 메트릭 엔드포인트에 직접 요청을 보내 데이터를 탈취
🛡️ 대응 방법
플러그인을 2026.9.3 버전 이상으로 업데이트하거나 Prometheus 엔드포인트를 비활성화하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.9.3보다 낮으면 취약한 상태입니다.
npm list @openclaw/diagnostics-prometheus 2>/dev/null | grep -E '@openclaw/diagnostics-prometheus@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access