🔴 CVE-2026-28363 — セキュリティアドバイザリ

██████╗██╗   ██╗███████╗    ██████╗  ██████╗ ██████╗  ██████╗
██╔════╝██║   ██║██╔════╝    ╚════██╗██╔═████╗╚════██╗ ██╔════╝
██║     ██║   ██║█████╗       █████╔╝██║██╔██║ █████╔╝ ███████╗
██║     ╚██╗ ██╔╝██╔══╝      ██╔═══╝ ████╔╝██║██╔═══╝  ██╔═══██╗
╚██████╗ ╚████╔╝ ███████╗    ███████╗╚██████╔╝███████╗ ╚██████╔╝
 ╚═════╝  ╚═══╝  ╚══════╝    ╚══════╝ ╚═════╝ ╚══════╝  ╚═════╝

CVE-2026-28363 · OpenClaw · CVSS 9.9 クリティカル 著者:https://cxsecurity.com/issue/WLB-2026030004

⚠️ 注意: このドキュメントは情報提供および防御的セキュリティを目的としたものです。
この情報の悪意ある使用は違法であり、職業倫理に反します。

📋 エグゼクティブサマリー

🎯 脆弱性の説明

CVE-2026-28363 の脆弱性は、OpenClaw の tools.exec.safeBins 検証ロジックに存在します。具体的には、許可リスト (allowlist) モードで sort コマンドを使用した際にこの欠陥が発動します。

この欠陥はどのように機能するのか？

攻撃者                     OpenClaw システム               対象システム
   │                               │                               │
   │  sort --compress-prog=...     │                               │
   │──────────────────────────────>│                               │
   │                               │  ❌ 検証失敗                  │
   │                               │  (省略形を認識しない)        │
   │                               │──────────────────────────────>│
   │                               │                               │ ⚠️ RCE

このシステムは、GNU の長いオプションの省略形を認識しません。例:

✅ --compress-program → 認識され、正しくブロックされる
❌ --compress-prog → 認識されず、検証をバイパスする

この違いにより、攻撃者はシステムが保護しようとしていたパス上で任意のコードを実行し、許可リストのメカニズムを完全に回避することができます。

📊 CVSS 3.1 メトリクス

Attack Vector (AV)      ████████████████████  NETWORK
Attack Complexity (AC)  ████░░░░░░░░░░░░░░░░  LOW
Privileges Required     ████░░░░░░░░░░░░░░░░  NONE
User Interaction (UI)   ████░░░░░░░░░░░░░░░░  NONE
Scope (S)               ████████████████████  CHANGED
Confidentiality (C)     ████████████████████  HIGH
Integrity (I)           ████████████████████  HIGH
Availability (A)        ████████████████████  HIGH

                        最終スコア: 9.9 ████████████████████ クリティカル

🛡️ 解決策と緩和策

✅ 主な解決策 (推奨)

直ちに OpenClaw 2026.2.23 以降に更新してください。

# npm を使用
npm update openclaw

# インストール済みバージョンの確認
npm list openclaw

# 特定のバージョンに更新
npm install [email protected]

🔧 一時的な緩和策

直ちに更新できない場合は、優先順位に従って以下の対策を適用してください:

1. 🔍 不審なイベントの監視

省略形オプションを使用した sort コマンドへの呼び出しを監視します:

# 監査ルールの例 (auditd)
auditctl -w /usr/bin/sort -p x -k openclaw_sort_watch

# リアルタイムでログを確認
ausearch -k openclaw_sort_watch -ts recent

2. 🔒 ホストレベルのアクセス制御

AppArmor — OpenClaw 用の制限プロファイル:

/usr/bin/sort {
  # --compress-prog* での実行を拒否
  deny /usr/bin/* x,
}

SELinux — コンファインメントポリシー:

# OpenClaw 用のコンファインメントポリシーを生成
ausearch -m avc -ts recent | audit2allow -M openclaw_policy
semodule -i openclaw_policy.pp

3. 📡 OpenClaw Security Monitor

公式ツール OpenClaw Security Monitor を使用して、リアルタイムで悪用の試みを検出します:

# 検出モードでモニターを起動
openclaw-monitor --watch --alert-level critical --cve CVE-2026-28363

📦 影響を受けるバージョン

バージョン	状態	必要なアクション
`< 2026.2.23`	🔴 脆弱	緊急に更新
`>= 2026.2.23`	🟢 パッチ適用済み	アクション不要

主な影響を受けるプラットフォーム: Node.js 向け OpenClaw

🔗 参照とリソース

リソース	リンク
📄 NIST NVD	nvd.nist.gov — CVE-2026-28363

🕒 タイムライン

発見 ──────────────── 開示 ──────────────── パッチ
      │                               │                        │
  [研究者]                    [NIST / GHSA]             [v2026.2.23]
      │                               │                        │
      └───────────────────────────────┴────────────────────────┘
                      責任ある開示プロセス

⚖️ 法的および倫理的注意事項

このドキュメントは教育および防御目的のみで提供されています。
明示的な許可なくシステムでこの脆弱性を悪用することは、米国のコンピュータ詐欺および不正使用取締法 (CFAA) を含む複数の国際法、およびラテンアメリカとヨーロッパの同等の規制の下で犯罪となります。

本番システムでこの脆弱性を発見した場合は、責任を持って該当するセキュリティチームに報告してください。

システムを最新の状態に保ってください。セキュリティは全員の責任です。 🔐

責任あるセキュリティ開示の一環として生成されました

CVE ID	CVE-2026-28363
GHSA	GHSA-3c6h-g97w-fg78
製品	OpenClaw (Node.js)
影響を受けるバージョン	`2026.2.23` より前のすべて
パッチ適用済みバージョン	`2026.2.23` ✅
タイプ	リモートコード実行 (RCE)
CWE	CWE-184 — 許可されない入力の不完全なリスト
CVSS スコア	9.9 / 10 — クリティカル

AV	Network	ネットワーク経由でリモートから悪用可能
AC	Low	攻撃の複雑さは低い
PR	None	事前の特権は不要
UI	None	ユーザー操作は不要
S	Changed	脆弱なコンポーネントを超えて影響が及ぶ
C/I/A	High	機密性、完全性、可用性に完全な影響

CVE-2026-28363

人気