OWN NEWS GATHER
← 戻る
The Hacker News

個人向けAIアシスタント「OpenClaw」に3つの脆弱性、WhatsAppメッセージを起点とするホスト乗っ取り手法が判明

要点

  • 個人向け人工知能（AI）アシスタント「OpenClaw」において、資格情報の窃取や任意のコード実行などにつながる3つの深刻な脆弱性が発見された。

  • セキュリティ研究者のChinmohan Nayak氏がこれらの脆弱性を発見・報告し、WhatsApp経由の外部メッセージからホストPC上でコードを実行させる攻撃チェーンの実証に成功した。

  • 脆弱性の中には、サンドボックス（隔離環境）の親ディレクトリに対する拒否リストのチェック漏れを突き、SSHキーやDockerソケットにアクセスしてホストへ脱出できる設計ミスが含まれる。

  • 以前に報告された脆弱性とは異なり、攻撃者が事前に侵入の足がかりを得ていなくても、外部から直接攻撃を完了させられる点が極めて危険視されている。

  • これらの脆弱性はすでに公開された「OpenClawバージョン2026.6.6」で修正されており、開発元は迅速なアップデートとセキュリティ対策の適用を推奨している。

  • 個人向け人工知能（AI）アシスタントソフトウェア「OpenClaw」において、ホストシステムにおける資格情報の窃取や特権昇格、任意のコード実行を可能にする3つの深刻なセキュリティ上の欠陥が明らかになった。この発見は、セキュリティ研究者のChinmohan Nayak（チンモハン・ナヤック）氏によって報告されたもので、2026年7月10日にセキュリティニュースサイト「The Hacker News」を通じて詳細が伝えられた。すでにこれらすべての問題に対処した修正バージョンが提供されている。

  • 発見された3つの深刻な脆弱性

  • 今回明らかになったOpenClawの脆弱性は、いずれも深刻度を示すCVSSスコア（脆弱性の深刻度を評価する共通の評価基準）が「高度（High）」に分類される3つの欠陥である。すでに脆弱性の識別番号（CVE）に代わるGitHub Security Advisory（GHSA：GitHub上で公開されるセキュリティ勧告）の識別コードが割り当てられており、それぞれの概要は以下の通りである。

  1. GHSA-hjr6-g723-hmfm（CVSSスコア：8.8）
  • ホスト実行環境における入力フィルタリングメカニズム（入力されたデータから危険な文字列を検知して排除する防御機能）に起因する、オペレーティングシステム（OS）のコマンドインジェクション（プログラムの脆弱性を突いて意図しないOSコマンドを実行させる攻撃手法）と、不完全な入力拒否リストの脆弱性。攻撃者が呼び出し元の意図した権限を超えて、アクションを実行または永続化させる恐れがある。
  1. GHSA-9969-8g9h-rxwm（CVSSスコア：8.8）
  • 上記のGHSA-hjr6-g723-hmfmと同様に、ホスト実行環境のフィルタリングメカニズムに影響を与えるOSコマンドインジェクションおよび不完全な入力拒否リストの脆弱性。これも許可された権限を超えた動作を許すリスクがある。
  1. GHSA-575v-8hfq-m3mc（CVSSスコア：8.4）

  • パストラベルサル（相対パスの指定などを悪用して想定外のディレクトリやファイルにアクセスする攻撃手法）およびリンクフォローの脆弱性。サンドボックス（ホストシステムから隔離された、プログラムを安全に実行するための仮想的な実行環境）のバインドマウント（ホスト側のファイルシステム上にあるディレクトリを、コンテナ環境内に直接割り当てて共有する仕組み）において、親ディレクトリの拒否リストチェックをバイパスし、本来であれば強力な認証やポリシーチェックで保護されるべきアクションの実行を許してしまう。

  • これらの問題は、すべて「OpenClawバージョン2026.6.6」において修正が完了している。

  • WhatsAppメッセージを発端とする攻撃チェーン

  • OpenClawのメンテナー（ソフトウェアの開発・管理責任者）チームは、先週発表した一連のアドバイザリ（注意喚起情報）の中で、「現実的な影響は、運用者の設定内容や、信頼性の低い入力が対象のパスに到達し得るかどう側に依存する」と説明していた。

  • しかし、これらの脆弱性を発見した研究者のChinmohan Nayak氏は、自身が執筆した技術レポートの中で、これらの欠陥を組み合わせることで、メッセージングアプリ「WhatsApp」から送信した外部メッセージを起点として、ホストシステム上でコードを実行させる攻撃チェーン（一連の攻撃手順）を構築できることを実証した。

  • この攻撃手法は、2026年5月にセキュリティ企業Cyeraによって開示された「Claw Chain（クロウ・チェーン）」と呼ばれる以前の脆弱性グループとは異なる特徴を持っている。以前の脆弱性では、機密データの抽出やバックドア（不正侵入のための裏口）の設置、リモートでのコード実行、さらにはホスト環境への脱出を行うために、攻撃者が事前に何らかの形でシステム内への足がかりを確立しておく必要があった。これに対し、今回Nayak氏が特定した新しい脆弱性群は、事前の足がかりを一切必要とせず、外部からのメッセージ送信だけでホストを制御できるため、より危険性が高まっている。

  • サンドボックスを迂回する設計上の盲点

  • 特に深刻な挙動について、Nayak氏は「GHSA-575v-8hfq-m3mc」を例に挙げて解説している。OpenClawには、指定されたソースパスがアクセス禁止領域にあるかをチェックする関数 getBlockedReasonForSourcePath() が実装されている。この関数は「ソースパスがブロック対象のパスの下位（配下）にあるか」をチェックするが、その逆である「ブロック対象のパスがソースパスの下位にあるか（親ディレクトリバイパス）」のチェックを行っていなかった。

  • このチェック漏れにより、バインドマウントの拒否リストの制限が形骸化することになる。例えば、OpenClawの制限リストでは、秘密鍵などが保管される「~/.ssh」やAWS（Amazon Web Services：アマゾンが提供するクラウドコンピューティングサービス）の資格情報がある「~/.aws」、GPG（GNU Privacy Guard：データや通信の暗号化とデジタル署名を行うためのオープンソースツール）のデータがある「~/.gnupg」といった重要な特定ディレクトリへの直接のマウントをブロックしていた。しかし、その親ディレクトリにあたる「/home」や「/var」を指定してコンテナ内にマウントすることは、チェックを通過して許可されてしまうという。

  • Nayak氏はこの動作について、「/homeをコンテナ内にマウントすれば、あらゆるユーザーのSSHキーやAWS資格情報、GPGの秘密情報を自由に読み取ることが可能になる。また、/varをマウントすれば、Dockerソケット（コンテナの起動や管理を行うDockerデーモンと通信するための接続窓口）が取得できるため、サンドボックスの内部から完全にホスト環境へと脱出（エスケープ）できるようになる」と指摘している。

  • 推奨される対策と設定上の注意点

  • OpenClawのメンテナーおよび発見者のNayak氏は、影響を受けるユーザーに対して、直ちに最新バージョンへのアップデートを実施するよう求めている。さらに、システムを保護するための一般的な強化策として、以下の設定変更や運用方法を推奨している。

  • アップデート適用前の暫定措置：アップデートを適用するまでの間は、影響を受ける機能を信頼できる運用者のみに制限するか、不要な場合は機能を一時的に無効化すること。

  • サンドボックスの有効化：メインではないすべてのセッションに対して、サンドボックスモードを有効に設定すること。

  • ツール許可リストの最小化：チャネル（外部連携インターフェース）に直面するエージェントのツール許可リストから「exec」（システムコマンド実行コマンド）を削除し、許可リストをできる限り狭く保つこと。

  • Gitコマンドの監視：外部のプロトコルヘルパー機能を利用して任意のシステムコマンドを実行する恐れがある、外部プロトコル指定の「ext::」が含まれる git clone コマンドの発行を検知・監視すること。

  • ゲートウェイの分離：互いに信頼関係にない複数のユーザー間で、単一のゲートウェイ（通信の出入り口）を共有するような構成を避けること。

  • 補足

  • OpenClawは利便性の高い個人用AIアシスタントとして活用されているが、システム制御の権限が強い性質上、そのセキュリティ設定には細心の注意が必要であることを示す実例となった。

元URL