🔴 CVE-2026-28363 — Security Advisory

██████╗██╗   ██╗███████╗    ██████╗  ██████╗ ██████╗  ██████╗
██╔════╝██║   ██║██╔════╝    ╚════██╗██╔═████╗╚════██╗ ██╔════╝
██║     ██║   ██║█████╗       █████╔╝██║██╔██║ █████╔╝ ███████╗
██║     ╚██╗ ██╔╝██╔══╝      ██╔═══╝ ████╔╝██║██╔═══╝  ██╔═══██╗
╚██████╗ ╚████╔╝ ███████╗    ███████╗╚██████╔╝███████╗ ╚██████╔╝
 ╚═════╝  ╚═══╝  ╚══════╝    ╚══════╝ ╚═════╝ ╚══════╝  ╚═════╝

CVE-2026-28363 · OpenClaw · CVSS 9.9 KRITISCH autor:https://cxsecurity.com/issue/WLB-2026030004

⚠️ HINWEIS: Diese Dokumentation dient ausschließlich Informations- und defensiven Sicherheitszwecken.
Die böswillige Nutzung dieser Informationen ist illegal und widerspricht der beruflichen Ethik.

📋 Executive Summary

🎯 Beschreibung der Schwachstelle

Die Schwachstelle CVE-2026-28363 liegt in der Validierungslogik tools.exec.safeBins von OpenClaw. Konkret wird der Fehler ausgelöst, wenn der Befehl sort im Modus der erlaubten Liste (Allowlist) verwendet wird.

Wie funktioniert der Fehler?

ANGREIFER                     OPENCLAW-SYSTEM               ZIELSYSTEM
   │                               │                               │
   │  sort --compress-prog=...     │                               │
   │──────────────────────────────>│                               │
   │                               │  ❌ Validierung fehlgeschlagen │
   │                               │  (erkennt Abkürzung nicht)    │
   │                               │──────────────────────────────>│
   │                               │                               │ ⚠️ RCE

Das System erkennt die Abkürzungen langer GNU-Optionen nicht. Zum Beispiel:

✅ --compress-program → erkannt und korrekt blockiert
❌ --compress-prog → NICHT erkannt, umgeht die Validierung

Dieser Unterschied ermöglicht es einem Angreifer, beliebigen Code auf Pfaden auszuführen, die das System schützen sollte, und den Mechanismus der erlaubten Liste vollständig zu umgehen.

📊 CVSS 3.1 Metriken

Attack Vector (AV)      ████████████████████  NETWORK
Attack Complexity (AC)  ████░░░░░░░░░░░░░░░░  LOW
Privileges Required     ████░░░░░░░░░░░░░░░░  NONE
User Interaction (UI)   ████░░░░░░░░░░░░░░░░  NONE
Scope (S)               ████████████████████  CHANGED
Confidentiality (C)     ████████████████████  HIGH
Integrity (I)           ████████████████████  HIGH
Availability (A)        ████████████████████  HIGH

                        ENDPUNKTZAHL: 9.9 ████████████████████ KRITISCH

🛡️ Lösung und Schadensbegrenzung

✅ Hauptlösung (EMPFOHLEN)

Sofort auf OpenClaw 2026.2.23 oder höher aktualisieren.

# Mit npm
npm update openclaw

# Installierte Version prüfen
npm list openclaw

# Auf spezifische Version aktualisieren
npm install [email protected]

🔧 Temporäre Schadensbegrenzungen

Falls ein sofortiges Update nicht möglich ist, wenden Sie die folgenden Maßnahmen in Prioritätsreihenfolge an:

1. 🔍 Überwachung verdächtiger Ereignisse

Überwachen Sie Aufrufe des Befehls sort mit abgekürzten Optionen:

# Beispiel einer Audit-Regel (auditd)
auditctl -w /usr/bin/sort -p x -k openclaw_sort_watch

# Logs in Echtzeit prüfen
ausearch -k openclaw_sort_watch -ts recent

2. 🔒 Zugriffskontrolle auf Host-Ebene

AppArmor — restriktives Profil für OpenClaw:

/usr/bin/sort {
  # Ausführung mit --compress-prog* verweigern
  deny /usr/bin/* x,
}

SELinux — Einschränkungsrichtlinie:

# Einschränkungsrichtlinie für OpenClaw generieren
ausearch -m avc -ts recent | audit2allow -M openclaw_policy
semodule -i openclaw_policy.pp

3. 📡 OpenClaw Security Monitor

Verwenden Sie das offizielle Tool OpenClaw Security Monitor, um Exploit-Versuche in Echtzeit zu erkennen:

# Monitor im Erkennungsmodus starten
openclaw-monitor --watch --alert-level critical --cve CVE-2026-28363

📦 Betroffene Versionen

Version	Status	Erforderliche Aktion
`< 2026.2.23`	🔴 VERWUNDBAR	Dringend aktualisieren
`>= 2026.2.23`	🟢 GEPATCHT	Keine Aktion erforderlich

Hauptbetroffene Plattform: OpenClaw für Node.js

🔗 Referenzen und Ressourcen

Ressource	Link
📄 NIST NVD	nvd.nist.gov — CVE-2026-28363

🕒 Zeitplan

Entdeckung ──────────────── Offenlegung ──────────────── Patch
      │                               │                        │
  [Forscher]                  [NIST / GHSA]             [v2026.2.23]
      │                               │                        │
      └───────────────────────────────┴────────────────────────┘
                      Verantwortungsvoller Offenlegungsprozess

⚖️ Rechtlicher und ethischer Hinweis

Dieses Dokument wird ausschließlich zu Bildungs- und Verteidigungszwecken bereitgestellt.
Die Ausnutzung dieser Schwachstelle auf Systemen ohne ausdrückliche Genehmigung stellt unter mehreren internationalen Rechtsordnungen eine Straftat dar, einschließlich des Computer Fraud and Abuse Act (CFAA) in den USA sowie gleichwertiger Vorschriften in Lateinamerika und Europa.

Wenn Sie diese Schwachstelle auf einem Produktionssystem entdecken, melden Sie sie verantwortungsvoll an das entsprechende Sicherheitsteam.

Halten Sie Ihre Systeme aktuell. Sicherheit ist die Verantwortung aller. 🔐

Generiert im Rahmen einer verantwortungsvollen Sicherheits-Offenlegung

CVE ID	CVE-2026-28363
GHSA	GHSA-3c6h-g97w-fg78
Produkt	OpenClaw (Node.js)
Betroffene Versionen	Alle vor `2026.2.23`
Gepatchte Version	`2026.2.23` ✅
Typ	Remote Code Execution (RCE)
CWE	CWE-184 — Unvollständige Liste nicht erlaubter Eingaben
CVSS-Score	9.9 / 10 — KRITISCH

AV	Network	Remote über das Netzwerk ausnutzbar
AC	Low	Geringe Angriffskomplexität
PR	None	Keine vorherigen Berechtigungen erforderlich
UI	None	Keine Benutzerinteraktion
S	Changed	Wirkt über die verwundbare Komponente hinaus
C/I/A	High	Vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit

CVE-2026-28363

Beliebteste