Nhà sáng lập OpenClaw xác nhận 360 độc quyền phát hiện lỗ hổng

Nhóm 360 Security Cloud xác nhận lỗ hổng zero-day WebSocket cho phép nâng cấp không cần xác thực trên OpenClaw Gateway, có thể bị khai thác để vượt qua cơ chế ủy quyền và chiếm quyền điều khiển smart agent gateway.

Thông tin được nêu trong email chính thức từ Peter, nhà sáng lập OpenClaw, phản hồi cho nhóm 360. 360 đồng thời báo cáo lỗ hổng rủi ro cao lên CNVD nhằm hỗ trợ hạn chế rủi ro trên diện rộng.

Diễn biến chính: xác nhận lỗ hổng zero-day trên OpenClaw Gateway

Peter, nhà sáng lập OpenClaw, đã xác nhận chính thức lỗ hổng OpenClaw Gateway WebSocket unauthenticated upgrade do nhóm 360 Security Cloud phát hiện độc quyền.

Theo báo cáo ngày 22/03, nhóm 360 Security Cloud nhận được email chính thức từ Peter và trong phản hồi, ông xác nhận lỗ hổng nâng cấp WebSocket không cần xác thực trên OpenClaw Gateway. Lỗ hổng này được mô tả là một zero-day và thuộc nhóm rủi ro cao.

Song song việc xác nhận từ phía nhà sáng lập, 360 cho biết đã báo cáo lỗ hổng tới National Information Security Vulnerability Sharing Platform (CNVD). Mục tiêu là hỗ trợ toàn mạng sớm cắt nguồn rủi ro và giảm khả năng bị khai thác trên diện rộng.

Tác động tiềm ẩn: vượt xác thực, chiếm quyền gateway và gây sập hệ thống

Lỗ hổng cho phép kẻ tấn công âm thầm vượt qua ủy quyền/xác thực qua WebSocket, kiểm soát smart agent gateway và có thể làm cạn kiệt tài nguyên hoặc khiến hệ thống mục tiêu sập hoàn toàn.

Nội dung mô tả cho thấy kẻ tấn công có thể tận dụng cơ chế WebSocket để bypass quy trình authorization authentication mà không cần xác thực nâng cấp. Khi đã giành quyền điều khiển smart agent gateway, tác động có thể lan sang các thành phần phụ thuộc gateway hoặc các luồng xử lý do gateway điều phối.

Rủi ro vận hành được nêu gồm exhaustion (cạn kiệt) tài nguyên hệ thống hoặc crash hoàn toàn của mục tiêu. 360 nhấn mạnh việc phối hợp báo cáo lên CNVD nhằm giúp cắt giảm cửa sổ bị khai thác, đặc biệt khi lỗ hổng được xác định là zero-day.