概要
OpenClaw の Telegram webhook 処理 に おいて、シークレット トークン ヘッダー の 検証 前 に リクエスト ボディ の 読み込み と バッファリング が 行われる 脆弱性 が 存在 します。認証 されて いない 攻撃者 が 大量 の リクエスト を 送信 する こと で、サーバー の メモリ や CPU リソース を 枯渇 させ、サービス 拒否（DoS）を 引き起こす こと が できます。
CVSS ベクトル
| 項目 | 値 |
|---|---|
| CVSS スコア | 7.5（High） |
| 攻撃 元 区分 | ネットワーク |
| 攻撃 条件 の 複雑 さ | 低 |
| 必要 な 特権 レベル | 不要 |
| ユーザー 関与 | 不要 |
| CWE | CWE-770（制限 なし の リソース 割り当て） |
影響 を 受ける ソフトウェア
| 製品 | 影響 バージョン | 修正 バージョン |
|---|---|---|
| OpenClaw | < 2026.3.13 | 2026.3.13 |
修正 バージョン と 回避策
- 修正 バージョン: 2026.3.13
- アップデート まで の 間 は、Telegram webhook の 前段 に レート リミッター や WAF を 設置 する こと を 推奨
関連 リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。