概要
OpenClaw において、カレントワーキングディレクトリ（CWD）の .env ファイルを通じた環境変数インジェクションの脆弱性が存在します。攻撃者は悪意のある .env ファイルを配置することで、host-env ポリシーをバイパスし、アプリケーションの設定を乗っ取ることが可能です。
これにより、サンドボックスの設定やセキュリティポリシーが無効化され、本来アクセスできないリソースへの不正アクセスにつながるおそれがあります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権 | 不要 |
| ユーザー関与 | 不要 |
| CWE | CWE-74（インジェクション） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| openclaw | OpenClaw (npm) | 2026.3.28 未満 |
修正バージョンと回避策
- 修正バージョン: 2026.3.28
- 回避策: CWD に信頼できない .env ファイルが配置されていないことを確認する、またはファイルシステムの書き込み権限を制限する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。