つみかさね

CVE-2026-41296

Critical(9.8)

CVE-2026-41296 — OpenClaw TOCTOU サンドボックスエスケープ

公開日: 2026-04-22データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
openclawOpenClaw (npm)2026.3.31 未満

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1OpenClaw を使用しているか確認する
  2. 2バージョン 2026.3.31 以降へアップデートする
  3. 3アップデート不可の場合はリモートFSブリッジの使用を制限する

影響対象

OpenClaw利用者

補足

  • -サンドボックスエスケープにより機密ファイルへのアクセスが可能なため、早急な対応を推奨します
CVEOpenClawサンドボックスエスケープTOCTOU

概要

OpenClaw のリモートFSブリッジにおける readFile 機能に、TOCTOU（Time-of-Check to Time-of-Use）競合条件に起因するサンドボックスエスケープの脆弱性が存在します。

ファイルパスの検証とファイルの実際の読み取りの間に競合状態が発生するため、攻撃者はサンドボックスの境界を超えてホストファイルシステム上の任意のファイルにアクセスできるおそれがあります。

CVSSベクトル

項目値
CVSSスコア9.8（Critical）
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な特権不要
ユーザー関与不要
CWECWE-367（TOCTOU競合条件）

影響を受けるソフトウェア

製品ベンダー影響バージョン
openclawOpenClaw (npm)2026.3.31 未満

修正バージョンと回避策

  • 修正バージョン: 2026.3.31
  • 回避策: リモートFSブリッジの使用を一時的に制限する、またはアクセス可能なファイルパスをネットワークレベルで制限する

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-41294OpenClaw 環境変数インジェクションCVSS 9.8CVE-2026-41329OpenClaw heartbeat bypassCVSS 9.8

参考リンク

GitHub Advisory:https://github.com/openclaw/openclaw/security/advisories/GHSA-9p3r-hh9g-5cmg
NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-41296
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。