CVE-2026-42426: Vulnerabilidad de autorización inadecuada en OpenClaw

Descripción de la Vulnerabilidad

La vulnerabilidad CVE-2026-42426 afecta a la plataforma OpenClaw antes de la versión 2026.4.8. Se trata de una falla de autorización inadecuada en el método node.pair.approve, que acepta permisos más amplios (operator.write) en lugar del escenario más restrictivo (operator.pairing). Esto permite a usuarios no autorizados aprobar la pareja de nodos, lo que podría facilitar el acceso no autorizado a nodos con capacidades ejecutables.

Sistemas Afectados

La vulnerabilidad afecta a las versiones de OpenClaw publicadas antes del 2026.4.8. Los sistemas que implementan esta funcionalidad en entornos de red o gestión de dispositivos podrían estar expuestos, especialmente aquellos que permiten la autorización dinámica de nodos sin validaciones estrictas.

Impacto y Explotabilidad

El CVSS score de 8.8 (ALTO) refleja un impacto significativo debido a la posibilidad de acceso no autorizado a recursos críticos. Los atacantes con permisos de operator.write podrían comprometer nodos ejecutables, lo que podría llevar a la exposición de datos sensibles o la alteración de operaciones críticas. La explotabilidad es moderada, ya que requiere privilegios específicos pero no acceso directo a sistemas vulnerables.

Indicadores de Compromiso (IOCs)

No hay Indicadores de Compromiso publicos disponibles.

Mitigación y Parches

La solución más efectiva es actualizar OpenClaw a la versión 2026.4.8 o posterior, donde se corrige el error en el método node.pair.approve. Además, se recomienda: - Realizar auditorías de seguridad en sistemas que manejan autorización dinámica. - Limitar los permisos de operator.write a usuarios confiables. - Monitorear actividades anormales relacionadas con la aprobación de nodos. La actualización y la validación estricta de escenarios de autorización son clave para mitigar el riesgo asociado a esta vulnerabilidad.