CVE-2026-100570 in OpenClaw
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw(npm 패키지 'openclaw') 버전 >= 2026.3.28 및 < 2026.8.1에서는 신뢰할 수 없는 워크스페이스의 .env 파일이 CLOUDSDK_PYTHON_ARGS 환경 변수를 설정할 수 있습니다. 운영자가 공격자가 제어하는 워크스페이스 콘텐츠에서 OpenClaw를 시작한 후 Gmail 설정 흐름을 실행하면, gcloud가 실행될 때 해당 값이 상속되어 신뢰할 수 있는 Python 인터프리터에 인수로 전달됩니다. 따라서 조작된 CLOUDSDK_PYTHON_ARGS 값을 사용하면 Python이 OpenClaw 호스트 사용자의 권한으로 공격자가 제공한 코드를 실행하게 되어 자격 증명 읽기, 파일 수정 또는 기타 프로세스 시작 등이 가능해집니다. 이 문제는 버전 2026.8.1에서 해결되었습니다. 우회 방법으로 신뢰할 수 있는 워크스페이스에서만 Gmail 설정을 실행하고 사전에 상속된 CLOUDSDK_* 변수를 지워야 합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.