Han surgido detalles sobre tres fallas de seguridad ahora parcheadas en el asistente personal de inteligencia artificial (IA) OpenClaw que, si se explotan con éxito, podrían permitir el robo de credenciales, la escalada de privilegios y la ejecución de código arbitrario en el host.
Una breve descripción de las vulnerabilidades de alta gravedad es la siguiente:
- GHSA-hjr6-g723-hmfm (Puntuación CVSS: 8,8): una inyección de comando del sistema operativo y una lista incompleta de vulnerabilidades de entradas no permitidas que afectan el mecanismo de filtrado del entorno de ejecución del host y que podrían permitir ejecutar o persistir acciones más allá de la autorización prevista de la persona que llama.
- GHSA-9969-8g9h-rxwm (Puntuación CVSS: 8,8): una inyección de comando del sistema operativo y una lista incompleta de vulnerabilidades de entradas no permitidas que afectan el mecanismo de filtrado del entorno de ejecución del host y que podrían permitir ejecutar o persistir acciones más allá de la autorización prevista de la persona que llama.
- GHSA-575v-8hfq-m3mc (Puntuación CVSS: 8,4): una vulnerabilidad de recorrido de ruta y seguimiento de enlaces que podría permitir que los montajes de enlace de sandbox omitan las comprobaciones de la lista de denegados del directorio principal y realicen acciones que deberían haberse protegido con comprobaciones de políticas o autorizaciones más estrictas.
Las tres deficiencias se han solucionado en la versión 2026.6.6 de OpenClaw.
En una serie de avisos publicados la semana pasada, los mantenedores de OpenClaw dijeron que “el impacto práctico depende de la configuración del operador y de si las entradas de menor confianza pueden llegar a ese camino”.
Sin embargo, el investigador de seguridad Chinmohan Nayak, a quien se le atribuye haber descubierto e informado los problemas, dijo en un informe compartido con The Hacker News que pueden usarse para activar la ejecución del código host desde un mensaje externo enviado a través de WhatsApp.
A diferencia de las vulnerabilidades de Claw Chain reveladas por Cyera en mayo, los errores recientemente identificados no requieren que un atacante establezca un punto de apoyo previo para extraer datos confidenciales, abrir una puerta trasera persistente, obtener ejecución remota de código arbitrario y facilitar un escape al host.
“`getBlockedReasonForSourcePath()` comprueba si la ruta de origen se encuentra en una ruta bloqueada”, explicó el investigador sobre GHSA-575v-8hfq-m3mc. “Pero nunca comprueba lo contrario: si una ruta bloqueada se encuentra en el origen (omisión del directorio principal)”.
Específicamente, la lista de denegación de montaje de enlace bloquea directorios como “~/.ssh”, “~/.aws” y “~/.gnupg”, pero permite montar el directorio principal “/home” o “/var”, lo que socava efectivamente los bloques individuales.
“Monte /home en su contenedor y podrá leer las claves SSH, las credenciales de AWS y los secretos GPG de cada usuario”, dijo Nayak. “Monte /var y obtendrá el socket Docker, lo que significa un escape completo del host desde el interior del ‘sandbox'”.
Además de actualizar OpenClaw a la última versión, se recomienda habilitar el modo sandbox para todas las sesiones no principales, eliminar “exec” de la lista de herramientas permitidas para agentes orientados al canal y monitorear los comandos git clone que contienen el protocolo auxiliar externo “ext::” del que se podría abusar para ejecutar comandos arbitrarios del sistema.
“Antes de actualizar, restrinja la función afectada a operadores confiables o desactívela cuando no sea necesaria”, dijo OpenClaw. “Como refuerzo general, mantenga estrechas las listas permitidas de canales y herramientas, evite compartir una puerta de enlace entre usuarios que no sean de confianza mutua y desactive la función afectada cuando no sea necesaria”.