🇰🇷 한글 설명
OpenClaw 개인용 AI 어시스턴트의 특정 버전에서 `normalizeForHash` 함수가 기본값 배열을 재귀적으로 정렬하는 결함이 발견되었습니다. 이로 인해 배열 내 요소의 순서가 바뀌어도 동일한 해시값이 생성되어, 샌드박스 설정 변경 사항이 감지되지 않고 오래된 컨테이너가 재사용될 수 있는 구성 무결성 문제가 발생합니다.
💡 쉬운 설명
설정 파일의 순서만 바꿨을 때 프로그램이 이를 변화로 인식하지 못하는 문제입니다. 이 때문에 변경된 설정이 적용되지 않은 옛날 상태의 작업 공간이 계속 사용될 수 있습니다.
🇺🇸 원문 (English)
OpenClaw is a personal AI assistant. Prior to version 2026.2.15, `normalizeForHash` in `src/agents/sandbox/config-hash.ts` recursively sorted arrays that contained only primitive values. This made order-sensitive sandbox configuration arrays hash to the same value even when order changed. In OpenClaw sandbox flows, this hash is used to decide whether existing sandbox containers should be recreated. As a result, order-only config changes (for example Docker `dns` and `binds` array order) could be treated as unchanged and stale containers could be reused. This is a configuration integrity issue affecting sandbox recreation behavior. Starting in version 2026.2.15, array ordering is preserved during hash normalization; only object key ordering remains normalized for deterministic hashing.
📍 영향받는 시스템
OpenClaw version 2026.2.15 미만 버전
⚔️ 공격 벡터
설정 파일의 배열 순서를 변경하여 시스템이 변경 사항을 무시하도록 유도하는 구성 무결성 공격
🛡️ 대응 방법
OpenClaw를 버전 2026.2.15 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.2.15보다 낮으면 취약한 상태입니다.
npm list openclaw --depth=0 | grep -E 'openclaw@2026\.[0-9]{2}\.[0-9]{2}'