PT-2026-23547 · Openclaw · Openclaw
Petr Simecek
·
Publicado
2026-02-17
·
Atualizado
2026-03-07
·
CVE-2026-28472
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
OpenClaw versões anteriores a 2026.2.2
Descrição
O handshake WebSocket
connect do gateway permite ignorar verificações de identidade do dispositivo quando auth.token está presente, mas não validado. Atacantes podem conectar-se ao gateway sem fornecer identidade do dispositivo ou emparelhamento, explorando a verificação de presença em vez da validação, potencialmente obtendo acesso de operador em implantações vulneráveis. O problema reside em src/gateway/server/ws-connection/message-handler.ts, onde o requisito de identidade do dispositivo pode ser contornado com base na presença de um connectParams.auth.token não vazio, em vez de um resultado de autenticação de segredo compartilhado validado. O gateway deve ser acessível apenas a partir de uma rede confiável e por usuários confiáveis.Recomendações
Versões anteriores a 2026.2.2 requerem que ignorar a identidade do dispositivo agora exija autenticação de segredo compartilhado validada (token/senha). Conexões autenticadas via Tailscale sem segredo compartilhado validado exigem identidade do dispositivo.
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Openclaw