Control UI ของ OpenClaw ทำ gateway token รั่วไหล เปิดช่อง RCE ได้ในคลิกเดียว

Control UI ของ OpenClaw เชื่อถือพารามิเตอร์ gatewayUrl ใน query string ทำให้ gateway token รั่วไหลและเปิดช่องให้ทำ RCE ได้ในคลิกเดียว แม้ติดตั้งให้รับการเชื่อมต่อเฉพาะ loopback ก็ตาม CVSS 8.8

เกิดอะไรขึ้น

Control UI ของ OpenClaw เชื่อถือพารามิเตอร์ gatewayUrl ใน URL ของหน้าเว็บ ลิงก์ที่สร้างขึ้นเป็นพิเศษอาจทำให้ UI ส่ง gateway token ให้ผู้โจมตี ซึ่งนำไปใช้สั่งงานผ่าน gateway เพื่อรันคำสั่งได้ ช่องโหว่นี้ใช้ได้แม้ gateway จะรับการเชื่อมต่อเฉพาะ loopback

Mav Levin จาก depthfirst พบปัญหานี้ ช่องโหว่ส่งผลต่อเวอร์ชันก่อน 2026.1.29 แก้ไขเมื่อวันที่ 30 January 2026 และเผยแพร่เมื่อวันที่ 31 January ในชื่อ CVE-2026-25253 (GHSA-g8p2-7wf7-98mq) โดยมี CVSS 8.8 และ CWE-669

เหตุใดจึงโจมตีสำเร็จ

การ bind กับ loopback ป้องกันไม่ให้คนนอกเข้าถึง gateway ได้โดยตรง แต่เบราว์เซอร์ของผู้ใช้เองเข้าถึงได้อยู่แล้ว UI ที่เก็บ token และเชื่อถือพารามิเตอร์จาก URL จึงเปลี่ยนการคลิกลิงก์เพียงครั้งเดียวให้เป็นการควบคุม gateway ได้อย่างเต็มรูปแบบ

สิ่งที่ควรทำ

• อัปเดต OpenClaw เป็น 2026.1.29 หรือใหม่กว่า
• เปลี่ยน gateway token หลังอัปเดต
• อย่าเปิดลิงก์ Control UI ที่ได้รับทางข้อความหรือจากหน้าเว็บที่ไม่น่าเชื่อถือ
• เรียกใช้ openclaw security audit --deep หลังอัปเกรดทุกครั้ง

อย่าเปิด control plane สู่อินเทอร์เน็ตรันโค้ดและ tool ใน sandbox

ทำตามรายการตรวจสอบความปลอดภัย →