基本信息
| 属性 | 内容 |
|---|---|
| 漏洞名称 | OpenClaw Gateway WebSocket Device Identity Bypass |
| CVE编号 | CVE-2026-28469 |
| 漏洞类型 | 认证绕过 (CWE-287) |
| 危害等级 | 严重 |
| 披露日期 | 2026-02-02 |
| 受影响版本 | < 2026.2.2 |
| 修复版本 | 2026.2.2 |
漏洞描述
产品简介： OpenClaw 是一款面向 AI 智能体的安全执行网关和编排框架，通过 WebSocket 网关与客户端进行实时通信。
漏洞成因与影响： OpenClaw 的 Gateway WebSocket 连接握手存在漏洞，当请求中包含 auth.token 时，允许跳过设备身份检查。攻击者无需任何权限或用户交互，即可利用此漏洞绕过设备认证机制，获得对网关的未授权访问。成功利用该漏洞可导致攻击者访问网关功能、执行未授权操作或获取敏感信息。
修复方案
官方公告
- NVD Entry: https://nvd.nist.gov/vuln/detail/CVE-2026-28469
版本升级
升级至 OpenClaw 2026.2.2 或更高版本。
漏洞分析
攻击路径： 远程（通过 WebSocket 连接）
适用操作系统： 跨平台
是否需要出网： 否
漏洞位置： Gateway WebSocket connect handshake
根本原因： OpenClaw 的 WebSocket 连接握手逻辑存在条件判断缺陷。当请求携带 auth.token 参数时，系统跳过了正常的设备身份验证流程。攻击者可构造包含任意 token 的连接请求，绕过设备认证直接建立 WebSocket 连接。
漏洞复现
环境准备
目标版本： OpenClaw < 2026.2.2
复现步骤
STEP 1: 建立未授权 WebSocket 连接
// 使用任意 auth.token 绕过设备验证
const ws = new WebSocket("ws://openclaw.example.com/gateway?auth.token=arbitrary_token");ws.onopen = function() {console.log("Connected without device verification!");// 发送恶意命令ws.send(JSON.stringify({action: "privileged_command"}));
};
STEP 2: 验证绕过效果
如果连接成功建立且可执行命令，则漏洞存在。
攻击调查
日志检查
grep -i "websocket.*connect\|device.*identity\|auth.token" /var/log/openclaw/*.log
自检方法
版本检查
openclaw --version
# 确认版本 >= 2026.2.2
临时缓解措施
-
禁用 token 认证： 临时禁用
auth.token认证方式，仅保留设备验证。 -
强制设备验证： 在应用层添加额外的设备验证逻辑。
-
网络访问控制： 限制 WebSocket 端点的访问来源。
参考资料
- NIST NVD - CVE-2026-28469