CVE-2026-43585

OpenClaw: ominięcie uwierzytelniania przez nieodświeżane tokeny bearer po rotacji SecretRef

CVSS 9.2v4.0pub. 2026-05-06upd. 2026-05-07

OpenClaw przed wersją 2026.4.15 zapamiętuje konfigurację uwierzytelniania bearer przy starcie aplikacji, przez co unieważnione tokeny pozostają ważne po rotacji SecretRef. Jest to podatność krytyczna, ponieważ atakujący może uzyskać nieautoryzowany dostęp do gateway bez posiadania aktualnych poświadczeń.

▸ Pokaż oryginał (EN)

OpenClaw before 2026.4.15 captures resolved bearer-auth configuration at startup, allowing revoked tokens to remain valid after SecretRef rotation. Gateway HTTP and WebSocket handlers fail to re-resolve authentication per-request, enabling attackers to use rotated-out bearer tokens for unauthorized gateway access.

🤖 Analiza AI

Jak działa

Przy starcie aplikacji OpenClaw rozwiązuje i zapisuje konfigurację uwierzytelniania bearer (w tym tokeny z SecretRef) tylko raz. Handlery HTTP i WebSocket gateway nie weryfikują uwierzytelnienia ponownie przy każdym żądaniu. W efekcie, gdy administrator przeprowadzi rotację SecretRef w celu unieważnienia tokenu, stary token nadal jest akceptowany przez gateway, ponieważ aplikacja nie pobiera zaktualizowanej konfiguracji.

Skutki

Atakujący posiadający unieważniony token bearer może uzyskać nieautoryzowany dostęp do gateway HTTP i WebSocket, omijając mechanizmy kontroli dostępu i potencjalnie uzyskując lub modyfikując dane przetwarzane przez gateway.

Mitygacja

Należy zaktualizować OpenClaw do wersji 2026.4.15 lub nowszej, w której wprowadzono ponowne rozwiązywanie konfiguracji uwierzytelniania przy każdym żądaniu. Patch dostępny jest w repozytorium projektu (commit acd4e0a32f12e1ad85f3130f63b42443ce90f094).

Kogo dotyczy

OpenClaw w wersjach przed 2026.4.15

Uwagi

Podatność sklasyfikowana jako CWE-672 (Operation on a Resource after Expiration or Release). Szczegóły opublikowane w GitHub Security Advisory GHSA-xmxx-7p24-h892.

CVSS Vector

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X