🇰🇷 한글 설명
OpenClaw 2026.3.31 이전 버전에서 PIP_INDEX_URL, UV_INDEX_URL 환경 변수를 제대로 살균하지 못하여 공격자가 악성 패키지 인덱스 URL을 주입할 수 있는 취약점입니다. 이를 통해 Python 패키지 설치 과정에서 악성 패키지를 다운로드하거나 정상 패키지를 가로챌 수 있습니다.
💡 쉬운 설명
OpenClaw가 Python 라이브러리를 다운로드할 때 저장소 주소를 확인하는 과정에서 보안 검사가 부족합니다. 공격자가 거짓 저장소 주소를 몰래 삽입하여 악성 라이브러리를 받게 할 수 있습니다.
🇺🇸 원문 (English)
OpenClaw before 2026.3.31 fails to properly sanitize PIP_INDEX_URL and UV_INDEX_URL environment variables in host execution contexts, allowing attackers to redirect Python package-index traffic. Attackers can exploit this bypass to intercept or manipulate package management operations by injecting malicious index URLs through unsanitized environment variables.
📍 영향받는 시스템
OpenClaw before 2026.3.31
⚔️ 공격 벡터
호스트 실행 컨텍스트에서 PIP_INDEX_URL 또는 UV_INDEX_URL 환경 변수에 악성 인덱스 URL을 주입
🛡️ 대응 방법
OpenClaw를 2026.3.31 이상으로 업데이트
🔧 검증 코드
출력된 버전이 2026.3.31 이상이면 안전하고, 그 이하면 취약합니다.
pip show openclaw 2>/dev/null | grep Version || python -c 'import openclaw; print(openclaw.__version__)' 2>/dev/null