🇰🇷 한글 설명
OpenClaw 2026.2.2 미만 버전의 게이트웨이 WebSocket 연결 핸드셰이크 과정에서 인증 토큰이 존재하기만 하면 기기 식별 확인을 건너뛰는 취약점이 발견되었습니다. 공격자는 기기 식별이나 페어링 없이도 게이트웨이에 연결할 수 있으며, 이를 통해 취약한 환경에서 운영자 권한을 획득할 수 있습니다.
💡 쉬운 설명
인증 토큰이 들어있기만 하면 실제 유효한지 확인하지 않고 통과시켜버리는 보안 허점이 있습니다. 이를 통해 해커가 정식 기기인 척 속여서 시스템 관리자 권한을 가로챌 수 있습니다.
🇺🇸 원문 (English)
OpenClaw versions prior to 2026.2.2 contain a vulnerability in the gateway WebSocket connect handshake in which it allows skipping device identity checks when auth.token is present but not validated. Attackers can connect to the gateway without providing device identity or pairing by exploiting the presence check instead of validation, potentially gaining operator access in vulnerable deployments.
📍 영향받는 시스템
OpenClaw versions prior to 2026.2.2
⚔️ 공격 벡터
WebSocket 연결 핸드셰이크 시 유효하지 않은 auth.token을 사용하여 기기 식별 검증을 우회
🛡️ 대응 방법
OpenClaw를 최신 버전인 2026.2.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 '2026.2.2' 이상의 버전 번호가 출력되면 안전하며, 그 미만이면 취약한 상태입니다.
openclaw --version 2>/dev/null | grep -E '2026.2.2'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access