🇰🇷 한글 설명
OpenClaw 2026.2.22 미만 버전에서 toolsBySender 그룹 정책 매칭 시 권한 우회 취약점이 발견되었습니다. 공격자는 senderName 또는 senderUsername과 같은 가변 식별자 값을 이용한 식별자 충돌 공격을 통해 권한이 높은 도구에 대한 접근 권한을 획득할 수 있습니다.
💡 쉬운 설명
사용자의 이름을 조작하여 시스템이 공격자를 권한이 높은 관리자로 착각하게 만드는 보안 허점입니다. 이를 통해 공격자는 원래 접근할 수 없는 중요한 도구들을 마음대로 사용할 수 있습니다.
🇺🇸 원문 (English)
OpenClaw versions prior to 2026.2.22 contain an authorization bypass vulnerability in the toolsBySender group policy matching that allows attackers to inherit elevated tool permissions through identifier collision attacks. Attackers can exploit untyped sender keys by forcing collisions with mutable identity values such as senderName or senderUsername to bypass sender-authorization policies and gain unauthorized access to privileged tools.
📍 영향받는 시스템
OpenClaw versions prior to 2026.2.22
⚔️ 공격 벡터
untyped sender keys를 이용한 식별자 충돌(identifier collision) 공격
🛡️ 대응 방법
OpenClaw를 2026.2.22 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.2.22 미만이면 취약한 상태이며, 해당 버전 이상이거나 업데이트가 완료되어야 안전합니다.
openclaw --version 2>/dev/null | grep -E '2026\.2\.[2-9]|2026\.[2-9]\.' || echo 'Vulnerable'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access