| タイトル | OpenClawにおける不完全なブラックリストに関する脆弱性 |
|---|---|
| 概要 | OpenClawの2026年5月12日以前のバージョンには、PowerShellのencoded-command処理においてアロウリストのバイパス脆弱性が存在します。この脆弱性により、攻撃者はアロウリストパーサーが認識しない省略されたフラグエイリアスを使用してエンコードされたコマンドを実行できます。リモート認証済みのオペレーターは認識されないencoded-commandのエイリアス形式を使用し、任意のPowerShellコンテンツを実行して実行アロウリストのチェックを回避できます。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月12日0:00 |
| 登録日 | 2026年6月16日13:35 |
| 最終更新日 | 2026年6月16日13:35 |
| CVSS3.0 : 重要 | |
| スコア | 8.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| OpenClaw |
| OpenClaw 2026.5.12 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月16日] 掲載 |
2026年6月16日13:35 |
| 概要 | OpenClaw before 2026.5.12 contains an allowlist bypass vulnerability in PowerShell encoded-command handling that allows attackers to execute encoded commands using abbreviated flag aliases not recognized by the allowlist parser. Remote authenticated operators can bypass execution allowlist checks by using unrecognized encoded-command alias forms to execute arbitrary PowerShell content. |
|---|---|
| 公表日 | 2026年6月13日7:16 |
| 登録日 | 2026年6月14日4:11 |
| 最終更新日 | 2026年6月13日7:16 |