🇰🇷 한글 설명
OpenClaw 2026.2.21 미만 버전의 Control UI에서 인증 우회 취약점이 발견되었습니다. allowInsecureAuth 설정이 활성화되어 있고 게이트웨이가 암호화되지 않은 HTTP를 통해 노출될 경우, 공격자가 기기 식별 및 페어링 검증을 우회할 수 있습니다. 유출되거나 가로챈 자격 증명을 가진 공격자는 암호화되지 않은 연결의 보안 인증 부재를 악용하여 높은 권한의 Control UI 접근 권한을 획득할 수 있습니다.
💡 쉬운 설명
보안 설정이 약한 상태에서 암호화되지 않은 통로를 통해 접속할 경우, 가짜 사용자가 관리자 권한을 얻을 수 있는 문제입니다. 해커가 중간에서 정보를 가로채면 기기 제어권을 통째로 뺏길 수 있습니다.
🇺🇸 원문 (English)
OpenClaw versions prior to 2026.2.21 contain an authentication bypass vulnerability in the Control UI when allowInsecureAuth is explicitly enabled and the gateway is exposed over plaintext HTTP, allowing attackers to bypass device identity and pairing verification. An attacker with leaked or intercepted credentials can obtain high-privilege Control UI access by exploiting the lack of secure authentication enforcement over unencrypted HTTP connections.
📍 영향받는 시스템
OpenClaw versions prior to 2026.2.21
⚔️ 공격 벡터
암호화되지 않은 HTTP 연결을 통한 인증 우회 및 자격 증명 탈취
🛡️ 대응 방법
OpenClaw를 2026.2.21 이상 버전으로 업데이트하고, allowInsecureAuth 설정을 비활성화하며 HTTPS 사용을 강제하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.2.21보다 낮으면 취약한 상태입니다.
openclaw --version 2>/dev/null | grep -E 'OpenClaw [0-9]+\.[0-9]+\.[0-9]+'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access