🇰🇷 한글 설명
2026.7.1 미만 버전의 OpenClaw Windows Node에서 system.run 함수 내 환경 변수 검증 미흡 취약점이 발견되었습니다. 공격자가 GIT_CONFIG_*, DOTNET_STARTUP_HOOKS, JAVA_TOOL_OPTIONS와 같은 특정 변수를 주입하면 git, dotnet, java 등 허용된 도구를 통해 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 실행될 때 사용하는 설정값들을 제대로 검사하지 못하는 보안 구멍이 있습니다. 해커가 특수한 설정값을 몰래 끼워 넣으면, 컴퓨터가 정상적인 프로그램인 줄 알고 해커가 만든 악성 코드를 실행하게 됩니다.
🇺🇸 원문 (English)
OpenClaw Windows Node before 2026.7.1 contains an incomplete environment-variable sanitizer in system.run that fails to block GIT_CONFIG_*, DOTNET_STARTUP_HOOKS, and JAVA_TOOL_OPTIONS variables. Attackers with gateway or agent access can supply these variables to allowlisted tools like git, dotnet, or java to load attacker-controlled code and achieve arbitrary code execution.
📍 영향받는 시스템
OpenClaw Windows Node (2026.7.1 미만 버전)
⚔️ 공격 벡터
게이트웨이 또는 에이전트 접근 권한을 가진 공격자가 환경 변수를 주입하여 코드 실행
🛡️ 대응 방법
OpenClaw Windows Node를 최신 보안 패치가 적용된 2026.7.1 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2026.7.1보다 낮은 경우 취약한 상태입니다.
powershell -Command "(Get-ItemProperty -Path 'HKLM:\SOFTWARE\OpenClaw\Version').Version"