OpenClaw 多个高危与严重漏洞安全研究报告（CVE-2026-32987等）

1. 漏洞信息

近日，OpenClaw 连续披露了多个存在于其系统中的安全漏洞（CVE-2026-32980、CVE-2026-32924、CVE-2026-32972、CVE-2026-32987）。这些漏洞的危害等级涵盖中危至严重，可能导致拒绝服务（DoS）、越权访问（BAC）以及权限提升。

漏洞列表及原理

CVE-2026-32987（CVSS 9.3 严重） 设备配对中的引导代码重放漏洞
原理：在 src/infra/device-bootstrap.ts 中，OpenClaw 允许在设备配对验证期间重放（replay）引导设置代码（bootstrap setup codes）。攻击者可以在管理员批准前多次验证有效的引导代码，从而提升挂起的配对范围，甚至将权限提升至最高级别的 operator.admin。
影响版本：OpenClaw < 2026.3.13
CVE-2026-32980（CVSS 7.5 高危） Telegram Webhook 资源耗尽漏洞
原理：OpenClaw 在处理 Telegram Webhook 请求时，会在验证 x-telegram-bot-api-secret-token 请求头之前读取并缓冲整个请求体。未经身份验证的远程攻击者可以通过发送大量恶意的 POST 请求，强制服务器在验证身份前消耗内存、Socket 连接时间以及进行 JSON 解析工作，最终导致服务器资源耗尽（拒绝服务 DoS，CWE-770）。
影响版本：OpenClaw < 2026.3.13
CVE-2026-32972（CVSS 7.1 高危） 浏览器配置文件管理越权漏洞
原理：系统存在授权绕过缺陷，仅具有 operator.write 权限的已认证用户，可通过 browser.request 接口越权访问仅限管理员（admin-only）的浏览器配置文件管理路由。攻击者无需 operator.admin 权限即可创建或修改浏览器配置文件，甚至将攻击者控制的远程 CDP 端点持久化到磁盘中。
影响版本：OpenClaw < 2026.3.11
CVE-2026-32924（CVSS 6.9 中危） 飞书 (Feishu) 反应事件错误分类导致的越权漏洞
原理：当处理飞书反应事件（reaction events）且事件中省略了 chat_type 字段时，OpenClaw 会错误地将该事件分类为点对点（p2p）对话，而不是群聊。攻击者可以利用这一分类错误，在衍生自群聊反应的事件中绕过 groupAllowFrom 和 requireMention 的群聊保护机制。
影响版本：OpenClaw < 2026.3.12

修复建议

官方补丁：建议所有 OpenClaw 用户立即更新至 2026.3.13 或更高版本，该版本已全面修复上述所有安全缺陷。
临时缓解措施：
在 WAF/网关层面针对 Telegram Webhook 端点实施速率限制（Rate Limiting）以防御资源耗尽攻击。
严格审查现有 operator.write 权限账户的活动日志，检查是否存在未授权的 CDP 端点配置。

2. 威胁情报

POC状态：已公开（详细技术原理与漏洞通告已由 GitHub Security Advisories 和 VulnCheck 发布，但完整的一键式利用工具暂未在黑客社区大规模泛滥）。

POC/检测资源列表：

OpenClaw 多漏洞资产探测模板(./nuclei_poc.yaml)（来源：AI-Security-Researcher）| 准确性：中 | 评估依据：基于特征检测 OpenClaw 实例的存在，协助收敛暴露面，不包含破坏性的漏洞利用链。

资产测绘

FOFA（全球）: app="OpenClaw"（约 176,578 条）
FOFA（国内）: app="OpenClaw" && country="CN"（约 79,122 条）

利用分析

利用难度：
CVE-2026-32980（资源耗尽）难度极低，无需认证即可发动攻击。
其他越权和重放漏洞需要一定的低权限访问或许可验证条件，难度中等。
实际影响范围：主要影响采用 OpenClaw 进行自动化办公、多平台机器人（Telegram、Feishu等）集成运营的企业和组织。若被攻破，攻击者可完全接管 OpenClaw 系统并滥用相关的机器人接口。
在野利用情况：暂未收到大规模在野利用报告，但由于漏洞已被公开数日且技术细节清晰，相关利用可能很快出现。

公开资源

GitHub Security Advisory: GHSA-hwmr-xj5r-936p (CVE-2026-32987)(https://github.com/advisories/GHSA-hwmr-xj5r-936p)
GitHub Security Advisory: GHSA-mgpv-62w8-p4rp (CVE-2026-32972)(https://github.com/advisories/GHSA-MGPV-62W8-P4RP)
NVD Vulnerability Database(https://nvd.nist.gov/vuln/detail/CVE-2026-32980)

4. 时间线

2026-03-29：上述多个漏洞陆续在 GitHub Security Advisories 和 NVD 平台上被公开。
2026-03-31：VulnCheck 发布了关于 CVE-2026-32987 的详细通告。

6. 参考链接

OpenClaw Security Advisories(https://github.com/openclaw/openclaw/security/advisories)
NVD - CVE-2026-32987(https://nvd.nist.gov/vuln/detail/CVE-2026-32987)

本文基于公开情报整理仅用于安全研究与防御参考

- 信安指北智能威胁情报中心 -