うさぎとタンクのムーンサルト

OpenClawのゲートウェイ設定変更の保護を回避できる脆弱性

判明
公開
タグ
国外
目次
  1. 脆弱性の内容
  2. 時系列
  3. 対象の製品と版
  4. 悪用の状況
  5. 修正と回避策
  6. 未公表の事項
  7. 注
  8. 出典
  9. 更新記録
  10. 関連記事

OpenClawでは、設定変更に対するゲートウェイの保護、同梱MCP/LSPツールのツールポリシー、ワークスペースのdotenvの扱いに脆弱性があり、CVE記録の公開日はいずれも2026年4月21日だ⁠［7、8、9］。不完全な拒否リストの保護を回避して設定を書き換えられる脆弱性もあり、そのCVE記録は4月24日を公開日とする⁠［10］。CISA-ADPのSSVCの評価では、4件ともExploitationがnoneだった⁠［7、8、9、10］。

脆弱性の内容

開発元のOpenClawは現行の文書で、config.patchを設定の部分的な更新に、config.applyを設定全体を置き換えるときに使うと説明している⁠［14］。組み込みのgatewayツールは、エージェントの実行を受け入れたゲートウェイを通じて設定を読み取る⁠［14］。

表1：CVE記録が示した脆弱性
CVE概要成立条件CVSS資料
CVE-2026-45001エージェント向けのゲートウェイのconfig.patchとconfig.applyが、運用者の信頼する設定を保護できない（CWE-862）オーナー専用のゲートウェイツールにアクセスできる、プロンプトインジェクションを受けたモデルv4.0は6（MEDIUM）、v3.1は7.1（HIGH）⁠［7］
CVE-2026-44998同梱のMCPとLSPのツールが、設定したツールの制限をすり抜ける（CWE-863）ローカルでエージェントにアクセスできる攻撃者v4.0は2.3、v3.1は5.4⁠［8］
CVE-2026-44992ワークスペースのdotenvがMINIMAX_API_HOSTを上書きできる環境変数の注入（CWE-441）CVSSの評価では、攻撃元区分がローカルで、利用者の関与が要るv4.0は4.1、v3.1は5⁠［9］
CVE-2026-45006ゲートウェイツールのconfig.applyとconfig.patchで、不完全な拒否リストの保護を回避できる不適切なアクセス制御（CWE-184）侵害されたモデルv4.0は7.7、v3.1は8.8⁠［10］

CVE-2026-45001の記録では、保護できない設定にサンドボックスのポリシー・プラグインの有効化・ゲートウェイの認証とTLS・フックのルーティング・MCPサーバーの設定・SSRFのポリシー・ファイルシステムの堅牢化が含まれている⁠［7］。プロンプトインジェクションを受けたモデルは、保護対象の運用者の設定への無許可の変更を永続化できる⁠［7］。同じ記録の謝辞の欄には、調整者としてKeenSecurityLab、ツールとしてqclawerが載っている⁠［7］。

CVE-2026-44998の記録によると、攻撃者はポリシーの絞り込みの後に制限されたツールを有効なツールの集合に加え、プロファイルのポリシー・許可/拒否リスト・オーナー専用の制限・サンドボックスのポリシー・サブエージェントのポリシーを回避しうる⁠［8］。

CVE-2026-44992の記録が示す攻撃では、攻撃者は認証情報付きのMiniMax APIの要求を、攻撃者の管理する接続先に向け直すことができる⁠［9］。その要求のAuthorizationヘッダーにあるMiniMaxのAPIキーが露出しうる〔注1〕⁠［9］。

VulnCheckはCVE-2026-45006の記録で、攻撃者がコマンドの実行、ネットワークの挙動、認証情報、運用者のポリシーに及ぶ悪意ある設定の変更を、再起動後も残る形で永続化できると説明した⁠［10］。

目次へ

時系列

時系列
日付主体内容資料
2026年4月6日OpenClaw2026.4.5をnpmに公開した⁠［6］
2026年4月21日OpenClaw2026.4.20をnpmに公開した⁠［6］
2026年4月24日OpenClaw2026.4.23をnpmに公開した⁠［6］
2026年5月8日-CVE-2026-45001が予約された⁠［7］
2026年5月11日VulnCheckCVE-2026-45001・CVE-2026-44998・CVE-2026-44992・CVE-2026-45006のCVE記録を公開した⁠［7、8、9、10］
2026年5月11日NISTNVDにCVE-2026-45001を登録した⁠［11］
2026年5月25日-CVE-2026-44992のCVE記録が更新された⁠［9］
2026年6月17日-NVDのCVE-2026-45001の記録が更新された⁠［11］

目次へ

対象の製品と版

表2：影響を受ける版と修正版
製品影響を受ける版修正版資料
openclaw（npm）のCVE-2026-45001・CVE-2026-449982026.4.20未満2026.4.20⁠［7、8］
openclaw（npm）のCVE-2026-449922026.4.5以上2026.4.20未満2026.4.20⁠［9］
openclaw（npm）のCVE-2026-450062026.4.23未満2026.4.23⁠［10］

目次へ

悪用の状況

CISA-ADPのSSVCでは、4件ともAutomatableがnoで、Technical ImpactはCVE-2026-45006がtotal、ほかの3件がpartialだった⁠［7、8、9、10］。

NISTのNVDでは、CVE-2026-45001の記録が分析済み（Analyzed）の状態にあり、CISAの既知の悪用された脆弱性カタログへの追加日の項目（cisaExploitAdd）が無い⁠［11］。

目次へ

修正と回避策

OpenClawは、ゲートウェイ設定の変更の保護、同梱のMCP/LSPツールのツールポリシー回避、ワークスペースのdotenvによるMiniMaxのホストの上書き、設定の変更の保護が安全でない書き込みを許した問題について、それぞれのアドバイザリをGitHubに掲載した⁠［1、2、3、4］。修正版のリリースのページもGitHubに掲載している⁠［5］。

目次へ

未公表の事項

  • 影響を受けた利用者・環境の数
  • 攻撃者による悪用の実例
  • MiniMaxのAPIキーが露出した事例の有無

注

  • 〔注1〕開発元の現行の文書によると、ワークスペースの.envは信頼の低い情報源で、OpenClawは優先順位を適用する前に、そこからのプロバイダーの認証情報と保護された実行時の制御を無視する⁠［13］。

出典

当事者

公的機関

背景資料

更新記録

  • 2026年4月28日：公開した。
  • 2026年5月11日：CVE ProgramのCVE記録（出典7、8、9、10）とNVDの記録（出典11）を加え、リードと「脆弱性の内容」「時系列」「対象の製品と版」「悪用の状況」を改めた。
  • 2026年5月25日：CVE-2026-44992のCVE記録の更新（出典9）を「時系列」に加え、「脆弱性の内容」の表1を改めた。
  • 2026年6月17日：NVDのCVE-2026-45001の記録の更新（出典11）を「時系列」に加え、「悪用の状況」を改めた。

目次へ