| タイトル | OpenClawにおけるスプーフィングによる認証回避に関する脆弱性 |
|---|---|
| 概要 | OpenClawの2026年5月3日以前のバージョンには、変更可能なSlack表示名にバインドするallowFrom機能に特権昇格の脆弱性があります。Slackアカウントへのアクセス権を持つ攻撃者は、表示名のメタデータをポリシーエントリに一致するように変更し、他のIDに対する意図されたエージェントアクセスを不正に取得する可能性があります。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月12日0:00 |
| 登録日 | 2026年6月17日15:38 |
| 最終更新日 | 2026年6月17日15:38 |
| CVSS3.0 : 重要 | |
| スコア | 8.1 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| OpenClaw |
| OpenClaw 2026.5.3 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月17日] 掲載 |
2026年6月17日15:38 |
| 概要 | OpenClaw before 2026.5.3 contains a privilege escalation vulnerability in the allowFrom feature that binds to mutable Slack display names. Attackers with Slack account access can change display name metadata to match policy entries, potentially gaining unauthorized agent access intended for other identities. |
|---|---|
| 公表日 | 2026年6月13日7:16 |
| 登録日 | 2026年6月14日4:11 |
| 最終更新日 | 2026年6月16日11:52 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:* | 2026.5.3 | ||||