| タイトル | OpenClawにおける信頼できない検索パスに関する脆弱性 |
|---|---|
| 概要 | OpenClawの2026年5月27日以前のバージョンには、スキルインストールのフローにおいて任意のコード実行が可能な脆弱性があります。これは、ワークスペースの.envファイルがHomebrew実行ファイルの選択を上書きできるためです。信頼されたオペレーターワークスペースへのアクセス権を持つ攻撃者は、スキルセットアップ中に意図しないHomebrew互換の実行ファイルを実行し、システムを侵害する可能性があります。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月11日0:00 |
| 登録日 | 2026年6月15日11:14 |
| 最終更新日 | 2026年6月15日11:14 |
| CVSS3.0 : 重要 | |
| スコア | 7.8 |
|---|---|
| ベクター | CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| OpenClaw |
| OpenClaw 2026.5.27 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月15日] 掲載 |
2026年6月15日11:14 |
| 概要 | OpenClaw before 2026.5.27 contains an arbitrary code execution vulnerability in skill install flows where workspace .env files can override the Homebrew executable selection. Attackers with access to trusted operator workspaces can execute unintended Homebrew-compatible executables during skill setup to compromise the system. |
|---|---|
| 公表日 | 2026年6月12日6:16 |
| 登録日 | 2026年6月13日4:15 |
| 最終更新日 | 2026年6月13日0:58 |