OpenClaw WebSocket共享令牌权限提升漏洞复现&研究

#  **OpenClaw v2026.3.11 **## **1️⃣ 环境准备与源码获取**# 1、创建目录并进入mkdir -p ~/openclaw && cd ~/openclaw# 2、克隆源码 (使用 git 比 zip 更方便切换版本)git clone https://github.com/openclaw/openclaw.git .# 3、切换到v2026.3.11git checkout v2026.3.11# 设置环境变量 (可选，用于自定义 apt 包)export OPENCLAW_HOME_VOLUME="openclaw_home"export OPENCLAW_DOCKER_APT_PACKAGES="ffmpeg build-essential curl jq"## **2️⃣ 系统优化 (推荐：增加 Swap)**如果服务器内存较小（<4GB），建议增加 Swap 防止构建或运行时 OOM。# 1、关闭并删除旧 Swapsudo swapoff -asudo rm -f /swapfile# 2、创建 8GB Swapsudo fallocate -l 8G /swapfilesudo chmod 600 /swapfilesudo mkswap /swapfilesudo swapon /swapfile# 验证free -h## **3️⃣ 运行初始化脚本**./docker-setup.sh

Gateway failed to start: Error: non-loopback Control UI requires gateway.controlUi.allowedOrigins.主要就是OpenClaw 的安全机制检测到通过非本地 IP（即远程服务器 IP）访问，但配置文件中没有明确允许该来源，为了防止 CSRF 攻击，它拒绝启动

root@iubuntu:~# cat ~/.openclaw/openclaw.json{  "wizard": {    "lastRunAt": "2026-03-17T04:41:47.969Z",    "lastRunVersion": "2026.3.11",    "lastRunCommand": "onboard",    "lastRunMode": "local"  },  "agents": {    "defaults": {      "workspace": "/home/node/.openclaw/workspace"    }  },  "tools": {    "profile": "coding"  },  "commands": {    "native": "auto",    "nativeSkills": "auto",    "restart": true,    "ownerDisplay": "raw"  },  "session": {    "dmScope": "per-channel-peer"  },  "gateway": {    "port": 18789,    "mode": "local",    "bind": "lan",    "auth": {      "mode": "token",      "token": "b215ee944b8efb33664e3ab7a2ad2b19b304f3da6ea67791237b89366a042674"    },    "controlUi": {// 增加的这里      "dangerouslyAllowHostHeaderOriginFallback": true    },    "tailscale": {      "mode": "off",      "resetOnExit": false    },    "nodes": {      "denyCommands": [        "camera.snap",        "camera.clip",        "screen.record",        "contacts.add",        "calendar.add",        "reminders.add",        "sms.send"      ]    }  },  "meta": {    "lastTouchedVersion": "2026.3.11",    "lastTouchedAt": "2026-03-17T04:41:47.988Z"  }}

https://github.com/Kai-One001/cve-/blob/main/OpenClaw_WebSocket_Token_Privilege_Escalation.py

2.2-是不是好奇token哪里来

我一开始也在纳闷，复现肯定是以本次漏洞为主，但是正常是什么样子，我注意到这个漏洞，信息泄露（原理会大概分析下默认密钥获取章节）

https://cvepremium.circl.lu/vuln/GHSA-7H7G-X2PX-94HJ

// 612:620:src/gateway/server-http.tsasync function handleRequest(req:IncomingMessage, res:ServerResponse){ setDefaultSecurityHeaders(res,{ strictTransportSecurity: strictTransportSecurityHeader,});// Don't interfere with WebSocket upgrades; ws handles the 'upgrade' event.if(String(req.headers.upgrade ??"").toLowerCase()==="websocket"){return;}}

src/gateway/server/ws-connection/message-handler.ts 的 attachGatewayWsMessageHandler 函数。

// 480:496:src/gateway/server/ws-connection/message-handler.tsconst roleRaw = connectParams.role ??"operator";const role = parseGatewayRole(roleRaw);if(!role){...}// Default-deny: scopes must be explicit. Empty/missing scopes means no permissions.// Note: If the client does not present a device identity, we can't bind scopes to a paired// device/token, so we will clear scopes after auth to avoid self-declared permissions.let scopes =Array.isArray(connectParams.scopes)? connectParams.scopes :[];connectParams.role = role;connectParams.scopes = scopes;

// 628:633:src/gateway/server/ws-connection/message-handler.tsconst clearUnboundScopes =()=>{if(scopes.length >0&&!controlUiAuthPolicy.allowBypass &&!sharedAuthOk){ scopes =[]; connectParams.scopes = scopes;}};

// 75:88:src/gateway/server/ws-connection/auth-context.tsexport async function resolveConnectAuthState(params:{ resolvedAuth:ResolvedGatewayAuth; connectAuth:HandshakeConnectAuth|null|undefined; hasDeviceIdentity:boolean;...}):Promise<ConnectAuthState>{const sharedConnectAuth = resolveSharedConnectAuth(params.connectAuth);const sharedAuthProvided =Boolean(sharedConnectAuth);const{ token: deviceTokenCandidate, source: deviceTokenCandidateSource }=params.hasDeviceIdentity ? resolveDeviceTokenCandidate(params.connectAuth):{};  ...  let authResult: GatewayAuthResult = await authorizeWsControlUiGatewayConnect({    auth: params.resolvedAuth,    connectAuth: sharedConnectAuth,    ...    rateLimitScope: AUTH_RATE_LIMIT_SCOPE_SHARED_SECRET,  });  ...  const sharedAuthResult =    sharedConnectAuth &&    (await authorizeHttpGatewayConnect({      auth: { ...params.resolvedAuth, allowTailscale: false },      connectAuth: sharedConnectAuth,      ...      rateLimitScope: AUTH_RATE_LIMIT_SCOPE_SHARED_SECRET,    }));  ...  const sharedAuthOk =    (sharedAuthResult?.ok === true &&      (sharedAuthResult.method === "token" || sharedAuthResult.method === "password")) ||    (authResult.ok && authResult.method === "trusted-proxy");

// 448:480:src/gateway/auth.tsif (auth.mode === "token") {  ...  if (!connectAuth?.token) {    return { ok: false, reason: "token_missing" };  }  if (!safeEqualSecret(connectAuth.token, auth.token)) {    limiter?.recordFailure(ip, rateLimitScope);    return { ok: false, reason: "token_mismatch" };  }  limiter?.reset(ip, rateLimitScope);  return { ok: true, method: "token" };}if (auth.mode === "password") {  ...  if (!password) {    return { ok: false, reason: "password_missing" };  }  if (!safeEqualSecret(password, auth.password)) {    limiter?.recordFailure(ip, rateLimitScope);    return { ok: false, reason: "password_mismatch" };  }  limiter?.reset(ip, rateLimitScope);  return { ok: true, method: "password" };}

https://cvepremium.circl.lu/vuln/GHSA-7H7G-X2PX-94H#### 环境是否需要配置- 需要：网关必须启用共享认证（`gateway.auth.mode=token` 或 `password`），并且实际配置了 `gateway.auth.token` / `gateway.auth.password`（或对应环境变量）。- 不需要：不需要任何设备、也不需要先完成一次配对审批；这个问题的核心是“配对用的 setup code 本身携带了长期有效的共享凭证”。#### Step 1：生成配对设置码（受害者侧）在主机上执行：openclaw qr --setup-code-only它会输出一段 setup code（同时 `openclaw qr` 默认还会渲染 ASCII 二维码）。#### Step 2：模拟泄露载荷（攻击者侧拿到 setup code）泄露来源可以是聊天记录、日志、截图、复制的二维码 payload 等；攻击者只需要拿到那串 setup code。#### Step 3：从 setup code 还原共享凭证（攻击者侧）### 原理简述（为什么这属于“泄露即永续可用”）- 设计预期边界：配对码/二维码更像“一次性引导”（短期、可撤销、最好不可逆），泄露风险应可控。- 实际实现：`openclaw qr` 生成的 setup code 不是一次性 token，而是把长期共享凭证（`gateway.auth.token/password`）直接打包进 payload，再用 Base64URL 做了一层可逆编码。- 因此：任何获得该 setup code/二维码内容的人，都能离线恢复共享凭证，并在之后任意时间重放使用（直到你轮换 token/password）。

//setup-code.tsLines 351-355export function encodePairingSetupCode(payload: PairingSetupPayload): string {  const json = JSON.stringify(payload);  const base64 = Buffer.from(json, "utf8").toString("base64");  return base64.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/g, "");}//以及 payload 明确把 token/password 塞进去：//setup-code.tsLines 387-396return {  ok: true,  payload: {    url: urlResult.url,    token: auth.token,    password: auth.password,  },  authLabel: auth.label,  urlSource: urlResult.source ?? "unknown",};

// 634:687:src/gateway/server/ws-connection/message-handler.tsconst handleMissingDeviceIdentity = (): boolean => {  if(!device) {    clearUnboundScopes();  }  const trustedProxyAuthOk = isTrustedProxyControlUiOperatorAuth({    isControlUi,    role,    authMode: resolvedAuth.mode,    authOk,    authMethod,  });  const decision = evaluateMissingDeviceIdentity({    hasDeviceIdentity: Boolean(device),    role,    isControlUi,    controlUiAuthPolicy,    trustedProxyAuthOk,    sharedAuthOk,    authOk,    hasSharedAuth,    isLocalClient,  });  if(decision.kind === "allow") {    return true;  }  ...};if(!handleMissingDeviceIdentity()) {  return;}

当 无设备身份 (!device) 且 sharedAuthOk === true 时：•clearUnboundScopes 被调用，但其内部条件 !sharedAuthOk 不满足；•因此 scopes 不会被清空，保留客户端自声明的所有作用域。如果后续的 evaluateMissingDeviceIdentity 返回 kind: "allow"（例如本地后端客户端、自身策略允许跳过设备绑定），握手继续进行，连接进入 connected 状态。

•缺失绑定：作用域没有与任何具体设备、配对记录或可信 UI 路径绑定；•却被保留：代码仍然原样保留客户端在 connectParams.scopes 中声明的所有值。

// 40:52:src/gateway/server-methods.tsif (!client?.connect) {  return null;}if (method === "health") {  return null;}const roleRaw = client.connect.role ?? "operator";const role = parseGatewayRole(roleRaw);if (!role) {  return errorShape(ErrorCodes.INVALID_REQUEST, `unauthorized role: ${roleRaw}`);}const scopes = client.connect.scopes ?? [];if (!isRoleAuthorizedForMethod(role, method)) {  return errorShape(ErrorCodes.INVALID_REQUEST, `unauthorized role: ${role}`);}if (role === "node") {  return null;}if (scopes.includes(ADMIN_SCOPE)) {  return null;}const scopeAuth = authorizeOperatorScopesForMethod(method, scopes);if (!scopeAuth.allowed) {  return errorShape(ErrorCodes.INVALID_REQUEST, `missing scope: ${scopeAuth.missingScope}`);}return null;

1.客户端通过 WebSocket connect 握手声明：•role: "operator"•scopes: ["operator.admin"]•auth.token 或 auth.password 为合法共享密钥。2.authorizeGatewayConnect 认为共享密钥正确，sharedAuthOk = true。3.因为 sharedAuthOk === true，clearUnboundScopes 不会清空任何作用域。4.若环境满足本地后端自接入的条件（shouldSkipBackendSelfPairing 返回 true），系统允许无设备身份继续连接。5.连接建立后，authorizeGatewayMethod 完全信任 client.connect.scopes，将该连接视为拥有 operator.admin 全权限的网关操作者。

•拥有某个用于后端/自动化的共享密钥（gateway.auth.token 或 gateway.auth.password）；•能以本地或被视为本地（loopback + 特定代理配置）的形式连接 WebSocket 网关入口；•能构造合法协议格式的 connect 帧并宣称自身为 operator 角色。

•operator.admin：增删改查网关配置（config.*）、触发系统事件（system-event）、重置/删除会话（sessions.*）、管理定时任务（cron.*）、触发在线更新（update.*）等；•operator.pairing：操控设备/节点配对、颁发/吊销设备令牌；•operator.write：主动驱动代理发送消息、执行工具调用等；•operator.approvals：篡改或伪造执行审批链路。

•横向控制：在多设备、多节点部署中，通过管理员作用域批量修改节点配置、注入恶意模型或工具调用；•数据破坏与窃取：通过 sessions.*、logs.*、chat.history 等接口窃取历史会话与日志；通过 agents.files.* 操作上传/替换关键 Prompt 或工具脚本；•持久化后门：利用配置和定时任务接口（如 config.*、cron.*）植入长期存活的恶意任务，甚至借助外部工具集成实现 RCE 级别的攻击链。

https://github.com/openclaw/openclaw

• 作用域绑定强制化：在clearUnboundScopes中，去除对sharedAuthOk 的依赖，改为只要"无设备身份、且不处于显式信任的Control UI / 可信代理上下文",就一律清空客户端自声明作用域

• 更新Token：生成新的强随机Token

• 权限最小化：检查所有生成的Token，确保它们只拥有完成任务所需的最小权限