🇰🇷 한글 설명
OpenClaw의 @openclaw/voice-call 플러그인에서 Telnyx 공개 키가 설정되지 않았을 때 서명되지 않은 웹훅 요청을 허용하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 Telnyx 이벤트를 위조하여 시스템에 전달할 수 있습니다. 해당 문제는 2026.2.14 버전에서 수정되었습니다.
💡 쉬운 설명
AI 비서 프로그램이 외부에서 오는 신호를 확인할 때, 확인용 열쇠(공개 키)가 없으면 아무나 보낸 신호도 진짜라고 믿어버리는 문제입니다. 공격자가 가짜 신호를 보내 AI 비서가 잘못된 동작을 하게 만들 수 있습니다.
🇺🇸 원문 (English)
OpenClaw is a personal AI assistant. Versions 2026.2.13 and below allow the optional @openclaw/voice-call plugin Telnyx webhook handler to accept unsigned inbound webhook requests when telnyx.publicKey is not configured, enabling unauthenticated callers to forge Telnyx events. Telnyx webhooks are expected to be authenticated via Ed25519 signature verification. In affected versions, TelnyxProvider.verifyWebhook() could effectively fail open when no Telnyx public key was configured, allowing arbitrary HTTP POST requests to the voice-call webhook endpoint to be treated as legitimate Telnyx events. This only impacts deployments where the Voice Call plugin is installed, enabled, and the webhook endpoint is reachable from the attacker (for example, publicly exposed via a tunnel/proxy). The issue has been fixed in version 2026.2.14.
📍 영향받는 시스템
OpenClaw 2026.2.13 및 그 이하 버전 (Voice Call 플러그인 사용 시)
⚔️ 공격 벡터
공개적으로 노출된 웹훅 엔드포인트로 인증되지 않은 임의의 HTTP POST 요청을 전송하여 이벤트 위조
🛡️ 대응 방법
OpenClaw를 최신 버전인 2026.2.14 이상으로 업데이트하거나, Telnyx 공개 키를 올바르게 설정하십시오.
🔧 검증 코드
출력된 버전이 2026.2.13 이하이거나 해당 범위에 포함되면 취약한 상태입니다.
npm list @openclaw/voice-call || openclaw --version | grep -E '2026.2.1[0-3]'