🇰🇷 한글 설명
ClawHub 애플리케이션이 익명 HTTP API 요청을 신뢰할 수 있는 호출자 식별자와 연결하지 않아, 모든 익명 요청이 하나의 기본 할당량을 공유하는 취약점이 발견되었습니다. 공격자는 이를 통해 공유 할당량을 모두 소진시켜 다른 사용자의 API 접근을 방해하거나, 위조된 IP 헤더를 사용하여 속도 제한을 우회할 수 있습니다.
💡 쉬운 설명
공용 화장실의 휴지를 한 사람이 모두 써버리면 다른 사람이 이용하지 못하는 것과 같은 원리입니다. 나쁜 의도를 가진 사람이 API 사용량을 다 써버리면 일반 사용자들이 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
ClawHub (the openclaw/clawhub application/backend) does not bind anonymous HTTP API requests to a trusted caller identity, so all direct anonymous API requests share a single default quota allowance. A remote, unauthenticated caller can drain that shared allowance and thereby deny or degrade API access for unrelated visitors. In addition, when the TRUST_FORWARDED_IPS option is enabled without an authenticated edge/proxy, clients can supply arbitrary forwarded IP headers to select quota identities of their choosing and evade rate limiting. The issue was confirmed at revision cbfee7343ddc867316dd9b3de6fa8856730f9f41; the complete historical affected range was not established. It is fixed in revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 (PR #3684), where direct anonymous calls are redirected to the public API origin without consuming quota and forged identity assertions return HTTP 401. The npm CLI and OpenClaw runtime are separate products and are not affected.
📍 영향받는 시스템
ClawHub (openclaw/clawhub application/backend) - revision cbfee7343ddc867316dd9b3de6fa8856730f9f41 이전 버전
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 대량의 익명 API 요청을 보내 할당량을 고갈시키거나 위조된 IP 헤더를 전송함
🛡️ 대응 방법
ClawHub를 수정 버전인 revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 (PR #3684) 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 커밋 해시값이 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650와 일치하거나 그 이후 버전인지 확인하십시오.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access