CVE-2026-100570 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw（npmパッケージ 'openclaw'）のバージョン >= 2026.3.28 および < 2026.8.1 では、信頼できないワークスペースの .env ファイルが CLOUDSDK_PYTHON_ARGS 環境変数を設定できます。攻撃者が制御するワークスペースコンテンツで OpenClaw を起動し、その後 Gmail のセットアップフローを実行すると、gcloud が起動される際にその値が継承され、gcloud ランチャーはそれを信頼できる Python インタープリタへの引数として渡します。したがって、CLOUDSDK_PYTHON_ARGS 値を改ざんすることで、Python に OpenClaw ホストユーザーの権限で攻撃者が提供したコードを実行させることができ、資格情報の読み取り、ファイルの変更、または他のプロセスの起動が可能になります。この問題はバージョン 2026.8.1 で修正されています。回避策として、Gmail のセットアップは信頼できるワークスペースからのみ実行し、事前に継承された CLOUDSDK_* 変数をクリアしてください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.