Giriş
OpenClaw kişisel yapay zeka asistanında keşfedilen ve düzeltilmiş üç güvenlik açığı, saldırganların kimlik bilgilerini çalmayı, ayrıcalık artırmayı ve hedefte rastgele kod çalıştırmayı mümkün kılabilir. Bu tür açıkların hızlı bir şekilde kapatılması, siber güvenlik açısından son derece önemlidir.
Saldırı Nasıl Çalışıyor?
Açıkların etkileri ve çözüm yolları aşağıdaki gibidir:
- GHSA-hjr6-g723-hmfm (CVSS puanı: 8.8) – İşletim sistemi komut enjeksiyonu ve reddedilen girişlerin eksik listesi ile ilgili bir açık. Bu açık, çağrıcının amaçlanan yetkilendirmesinin ötesinde eylemlerin gerçekleştirilmesine olanak tanıyabilir.
- GHSA-9969-8g9h-rxwm (CVSS puanı: 8.8) – Yukarıdaki açıklamanın tekrar eden bir versiyonu, yine işletim sistemi komut enjeksiyonu ve giriş filtrelemesi ile ilgili bir sorun.
- GHSA-575v-8hfq-m3mc (CVSS puanı: 8.4) – Bir yol geçiş ve bağlantı takip açığı; bu, sandbox bind mounts aracılığıyla, ebeveyn dizininin yasaklı listesine erişimin atlanmasına sebep olabilmektedir.
Tüm bu açıklar, OpenClaw’un 2026.6.6 sürümünde giderilmiştir.
Etkilenen Sistemler
OpenClaw’un güvenlik açıklarının etkileri, kullanıcının yapısına bağlıdır. Ancak güvenlik araştırmacısı Chinmohan Nayak tarafından bildirildiği üzere, bu açıklar WhatsApp üzerinden gönderilen harici bir mesajdan hedef kod çalıştırılmasını tetiklemek için kullanılabilir.
Çözüm ve Korunma
Aşağıdaki adımlar, OpenClaw’un bu açıklarından korunmak için önemlidir:
- OpenClaw’un en son sürümüne güncelleyin.
- Tüm ana olmayan oturumlar için sandbox modunu aktif hale getirin.
- Kanal ile etkileşimde bulunan ajanslar için allowlist’inizden “exec” öğesini kaldırın.
- Sistemi komutları çalıştırabilecek “ext::” dış protokol yardımcıları içeren git clone komutlarını izleyin.
- Etkilenen özelliği güvenilir operatörlerle sınırlandırın ya da ihtiyaç olmadığında devre dışı bırakın.
OpenClaw, genel olarak güvenlik önlemleri olarak, kanal ve araç allowlist’lerini dar tutmayı, birbirine güvenmeyen kullanıcılar arasında bir Gateway paylaşımını önlemeyi ve ihtiyaç olmadığında etkilenen özelliği devre dışı bırakmayı önermektedir.
Sonuç
Okuyucuların, sistemlerini güvende tutmak için OpenClaw’un en son sürümüne güncellemeleri ve yukarıda belirtilen güvenlik önlemlerini alarak riskleri minimize etmeleri önemlidir. Ayrıca, yapılacak değişikliklerin etkisiz hâle gelmemesi için sistem yapılandırmalarını gözden geçirmeleri önerilmektedir.
