🇰🇷 한글 설명
OpenClaw 2026.2.25 미만 버전에서 신뢰할 수 있는 프록시 제어 UI 페어링 메커니즘에 인증 우회 취약점이 존재합니다. 인증된 노드 역할의 웹소켓 클라이언트가 client.id=control-ui 식별자를 사용하여 기기 신원 검증을 건너뛰고 노드 이벤트 실행 흐름에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
특정 식별자를 입력하면 보안 검사를 통과해 버리는 허점이 발견되었습니다. 이를 통해 공격자가 권한 없이 시스템의 중요한 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
OpenClaw versions prior to 2026.2.25 contain an authentication bypass vulnerability in the trusted-proxy Control UI pairing mechanism that accepts client.id=control-ui without proper device identity verification. An authenticated node role websocket client can exploit this by using the control-ui client identifier to skip pairing requirements and gain unauthorized access to node event execution flows.
📍 영향받는 시스템
OpenClaw versions prior to 2026.2.25
⚔️ 공격 벡터
인증된 웹소켓 클라이언트가 조작된 client.id 값을 사용하여 페어링 과정을 우회함
🛡️ 대응 방법
OpenClaw를 2026.2.25 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2026.2.25 이상의 버전이 표시되면 안전하며, 그렇지 않으면 취약한 상태입니다.
openclaw --version 2>/dev/null | grep -E '2026.2.25'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access