🇰🇷 한글 설명
OpenClaw 2026.5.7 이전 버전의 Matrix allowFrom 기능에는 권한 상승 취약점이 존재합니다. 인증된 사용자가 표시 이름을 변경하여 다른 Matrix 신원에게 할당된 에이전트 접근 권한을 가로챌 수 있습니다. 이는 운영자 설정에 따라 무단 권한 획득으로 이어질 수 있습니다.
💡 쉬운 설명
사용자가 자신의 이름을 바꾸면 시스템이 이를 다른 권한 있는 사용자로 오인하여 접근 권한을 부여하는 문제가 있습니다. 공격자는 이 버그를 이용해 본래 권한이 없는 계정에 대한 접근 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
OpenClaw before 2026.5.7 contains a privilege escalation vulnerability in the Matrix allowFrom feature that allows authenticated accounts to match policy entries through mutable display name metadata. Attackers with the ability to change display names can receive agent access intended for another Matrix identity, potentially gaining unauthorized permissions depending on operator configuration.
📍 영향받는 시스템
OpenClaw version < 2026.5.7
⚔️ 공격 벡터
인증된 사용자가 표시 이름을 변경하여 Matrix 정책 엔트리를 매칭
🛡️ 대응 방법
OpenClaw을 2026.5.7 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
명령어 실행 시 2026.5.7 미만의 버전 번호가 출력되면 취약한 버전입니다.
openclaw --version 2>/dev/null | grep -E '2026\.(0-4|5\.[0-6])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access