Objevily se podrobnosti o třech již opravených bezpečnostních chybách v osobním AI asistentovi OpenClaw. Při úspěšném zneužití mohly umožnit krádež přihlašovacích údajů, eskalaci oprávnění a spuštění libovolného kódu přímo na hostitelském systému.
Dvě z chyb (GHSA-hjr6-g723-hmfm a GHSA-9969-8g9h-rxwm, obě s hodnocením CVSS 8.8) souvisejí s injektáží příkazů operačního systému a s neúplným seznamem zakázaných vstupů ve filtrovacím mechanismu prostředí pro spouštění příkazů; útočníkovi mohly umožnit provést akce nad rámec jeho oprávnění. Třetí chyba (GHSA-575v-8hfq-m3mc, CVSS 8.4) spočívá v průchodu adresářovou strukturou a následování odkazů, díky čemuž mohly připojené svazky (bind mounts) v sandboxu obejít kontrolu proti nadřazeným adresářům. Všechny tři nedostatky byly odstraněny ve verzi OpenClaw 2026.6.6.
Jak se z běžné zprávy stane spuštění kódu
Tvůrci OpenClaw ve svých upozorněních uvedli, že „praktický dopad závisí na konfiguraci provozovatele a na tom, zda se k danému místu dostane vstup s nižší mírou důvěry.“ Bezpečnostní výzkumník Chinmohan Nayak, jemuž je objev připisován, ale v reportu sdíleném se serverem The Hacker News popsal, že chyby lze zneužít ke spuštění kódu na hostiteli pomocí zprávy zaslané zvenčí přes WhatsApp. Na rozdíl od dřívějších zranitelností Claw Chain nový problém nevyžaduje, aby útočník měl v systému už předem získané postavení.
K třetí chybě Nayak vysvětlil: „Funkce getBlockedReasonForSourcePath() kontroluje, zda se zdrojová cesta nachází pod nějakou zablokovanou cestou. Nikdy ale nekontroluje opačný směr — zda je zablokovaná cesta pod zdrojovou. Jde o obejití přes nadřazený adresář.“ Zamítací seznam sice blokuje adresáře jako ~/.ssh, ~/.aws nebo ~/.gnupg, dovoluje však připojit jejich nadřazený adresář /home nebo /var, čímž jednotlivé zákazy fakticky ztrácejí smysl. Výzkumník doplnil: „Připojíte /home do svého kontejneru a přečtete si SSH klíče, přihlašovací údaje k AWS i tajemství GPG všech uživatelů. Připojíte /var a získáte Docker socket — což znamená úplný únik z takzvaného sandboxu na hostitele.“
Kromě aktualizace na nejnovější verzi se doporučuje zapnout režim sandboxu u všech vedlejších relací, odebrat příkaz „exec“ ze seznamu povolených nástrojů u agentů komunikujících s kanály a sledovat příkazy git clone obsahující externí protokolový pomocník „ext::“. Tvůrci projektu rovněž radí před upgradem omezit dotčenou funkci jen na důvěryhodné provozovatele, případně ji vypnout, pokud není potřeba.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
