JVNDB-2026-008534

OpenClawにおけるデータの信頼性についての不十分な検証に関する脆弱性

OpenClawの2026年2月21日以前のバージョンでは、リクエストが設定された信頼済みプロキシから発生した場合に、最も左側のX-Forwarded-Forヘッダーの値を不適切に解析し、攻撃者がクライアントのIPアドレスを偽装できる脆弱性があります。ヘッダー値を追加または保持するプロキシチェーンにおいて、攻撃者は認証のレートリミットやIPベースのアクセス制御を含むセキュリティ判断に影響を与える悪意のあるヘッダーコンテンツを注入できます。

OpenClaw

• OpenClaw 2026.2.21 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Improper X-Forwarded-For parsing behind trusted proxies allows client IP spoofing in security decisions  Advisory  openclaw/openclaw  GitHub

VulnCheck

• VulnCheck : OpenClaw < 2026.2.21 - Client IP Spoofing via X-Forwarded-For Header Parsing  | Advisories | VulnCheck

1. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-32029

1. National Vulnerability Database (NVD) : CVE-2026-32029
2. 関連文書 : gateway: trust-proxy-aware X-Forwarded-For resolution (#22466)  openclaw/openclaw@8877bfd  GitHub
3. 関連文書 : Gateway: harden trusted proxy X-Forwarded-For parsing (#22429)  openclaw/openclaw@07039dc  GitHub

• [2026年03月25日]
    掲載