OpenClaw Windows Node: Remote Code Execution über Exec-Freigaberegeln

Zusammenfassung

OpenClaw Windows Node vor 2026.7.1 akzeptiert Exec-Freigaberegeln über system.execApprovals.set, die Wildcards in den ausführbaren Dateien und missbrauchbare Windows-Systembinaries wie mshta, rundll32 und certutil erlauben. Ein Aufrufer mit gültiger Sitzung kann breite Freigabe-Regeln hinzufügen und danach über system.run beliebige Befehle auf dem Windows-Host ausführen, ohne Prüfung durch den Operator oder Benutzerabfrage. Der CVSS-4.0-Wert des Herstellers beträgt 8.7 (hoch).

Betroffen

• OpenClaw Windows Node von 0 bis vor 2026.7.1
• Relevant, wenn die Fähigkeit "Run system tools" aktiviert ist

Behoben in

• Version 2026.7.1

Umgehung

• "Run system tools" auf Nodes deaktivieren, die diese Funktion nicht benötigen; laut Herstellerhinweis hängt die Ausnutzbarkeit von dieser Einstellung ab
• Unbekannt: Über diese Massnahme hinaus ist kein Workaround des Herstellers dokumentiert

Ausnutzung

• In freier Wildbahn: Keine Hinweise gefunden, kein KEV-Eintrag
• Öffentlicher PoC: Widersprüchliche Angaben; CISA SSVC nennt die Ausnutzung als "poc", andere Quellen melden keinen öffentlichen PoC
• Automatisierbar: nein (CISA SSVC)

Unsere Empfehlung

• OpenClaw Windows Node auf 2026.7.1 oder neuer aktualisieren und die Version auf jedem Windows-Host prüfen
• Bis zum Patch "Run system tools" auf Nodes deaktivieren, die diese Funktion nicht benötigen
• Gateway- und MCP-Token schützen und einschränken, welche Aufrufer den Node erreichen können
• Auf unerwartete Starts von mshta, rundll32 oder certutil achten, insbesondere aus dem Node-Prozess
• Hohe Priorität, wenn der Node mit aktivierter Funktion "Run system tools" betrieben wird

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub security advisory GHSA-f32j-8759-w2fp github.com
• GitHub security advisory GHSA-g95v-c9r6-2hmq github.com
• Fix commit 8f07ad92beb28376bc228c0b07093173a043a656 github.com
• Release v2026.7.1 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-101882 osv.dev
• Redpacket Security CVE alert www.redpacketsecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:33.