🇰🇷 한글 설명
OpenClaw 개인 AI 어시스턴트의 Docker 샌드박스 실행 메커니즘에서 PATH 환경 변수를 안전하게 처리하지 못하여 명령어 주입 취약성이 발생했습니다. 이 취약성은 인증된 사용자가 환경 변수를 제어할 수 있을 때 컨테이너 내에서 명령어 실행에 영향을 줄 수 있습니다.
💡 쉬운 설명
OpenClaw의 보안 취약성으로 인해 인증된 사용자가 환경 변수를 조작하여 시스템 명령어를 실행할 수 있습니다. 이는 시스템의 보안을 위협할 수 있습니다. 이 취약성은 2026.1.29 버전에서 수정되었습니다.
🇺🇸 원문 (English)
OpenClaw (formerly Clawdbot) is a personal AI assistant you run on your own devices. Prior to 2026.1.29, a command injection vulnerability existed in OpenClaw’s Docker sandbox execution mechanism due to unsafe handling of the PATH environment variable when constructing shell commands. An authenticated user able to control environment variables could influence command execution within the container context. This vulnerability is fixed in 2026.1.29.
📍 영향받는 시스템
OpenClaw 버전 2026.1.29 이전
⚔️ 공격 벡터
인증된 사용자가 환경 변수를 조작하여 시스템 명령어를 실행
🛡️ 대응 방법
OpenClaw를 2026.1.29 버전 이상으로 업데이트하세요.
🔧 검증 코드
로컬에서 Docker를 사용하여 OpenClaw 컨테이너를 실행하고 환경 변수를 확인하세요. verification_code의 Python 코드를 실행하여 환경 변수 PATH가 설정되어 있는지 확인하세요. 코드를 실행하기 전에 Docker와 OpenClaw가 설치되어 있는지 확인하세요.
import subprocess
result = subprocess.check_output(['docker', 'exec', '-it', 'openclaw', 'env']).decode('utf-8')
if 'PATH' in result:
print({"result": "취약", "reason": "환경 변수 PATH가 설정되어 있습니다."})
else:
print({"result": "양호", "reason": "환경 변수 PATH가 설정되어 있지 않습니다."})