🇰🇷 한글 설명
OpenClaw 2026.4.8 이전 버전은 호스트 실행 작업 전에 git 환경 변수를 제거하지 못하여, 공격자가 GIT_DIR과 관련 변수를 설정해 git 작업을 리다이렉트하고 저장소 무결성을 손상시킬 수 있다.
💡 쉬운 설명
OpenClaw가 다른 프로그램을 실행할 때 git 설정 정보를 정리하지 않아서, 악의적 사용자가 이를 이용해 코드 저장소를 조작할 수 있다. 이는 저장소 데이터의 무결성을 위협하는 중간 수준의 보안 문제다.
🇺🇸 원문 (English)
OpenClaw before 2026.4.8 fails to remove git plumbing environment variables from the execution environment before host exec operations. Attackers can exploit this by setting GIT_DIR and related variables to redirect git operations and compromise repository integrity.
📍 영향받는 시스템
OpenClaw < 2026.4.8
⚔️ 공격 벡터
GIT_DIR, GIT_WORK_TREE, GIT_CONFIG_GLOBAL 등의 환경 변수 설정을 통한 git 명령어 리다이렉션
🛡️ 대응 방법
OpenClaw를 2026.4.8 이상으로 업그레이드
🔧 검증 코드
SAFE 출력이면 안전하고 VULNERABLE이면 즉시 업그레이드 필요
openclaw --version 2>/dev/null | awk -F'.' '{if($1==2026 && $2>=4 && $3>=8) print "SAFE"; else print "VULNERABLE"}'