Nhóm 360 Security Cloud xác nhận lỗ hổng zero-day WebSocket cho phép nâng cấp không cần xác thực trên OpenClaw Gateway, có thể bị khai thác để vượt qua cơ chế ủy quyền và chiếm quyền điều khiển smart agent gateway.

Thông tin được nêu trong email chính thức từ Peter, nhà sáng lập OpenClaw, phản hồi cho nhóm 360. 360 đồng thời báo cáo lỗ hổng rủi ro cao lên CNVD nhằm hỗ trợ hạn chế rủi ro trên diện rộng.

NỘI DUNG CHÍNH

OpenClaw Gateway có lỗ hổng WebSocket nâng cấp không cần xác thực (zero-day).
Kẻ tấn công có thể âm thầm vượt qua xác thực, chiếm quyền điều khiển gateway.
360 đã báo cáo lên CNVD để hỗ trợ cắt nguồn rủi ro sớm.

Diễn biến chính: xác nhận lỗ hổng zero-day trên OpenClaw Gateway

Peter, nhà sáng lập OpenClaw, đã xác nhận chính thức lỗ hổng OpenClaw Gateway WebSocket unauthenticated upgrade do nhóm 360 Security Cloud phát hiện độc quyền.

Theo báo cáo ngày 22/03, nhóm 360 Security Cloud nhận được email chính thức từ Peter và trong phản hồi, ông xác nhận lỗ hổng nâng cấp WebSocket không cần xác thực trên OpenClaw Gateway. Lỗ hổng này được mô tả là một zero-day và thuộc nhóm rủi ro cao.

Xem thêm: Venus tạm dừng giao dịch USR trên Flux Market vì mất neo

Song song việc xác nhận từ phía nhà sáng lập, 360 cho biết đã báo cáo lỗ hổng tới National Information Security Vulnerability Sharing Platform (CNVD). Mục tiêu là hỗ trợ toàn mạng sớm cắt nguồn rủi ro và giảm khả năng bị khai thác trên diện rộng.

Tác động tiềm ẩn: vượt xác thực, chiếm quyền gateway và gây sập hệ thống

Lỗ hổng cho phép kẻ tấn công âm thầm vượt qua ủy quyền/xác thực qua WebSocket, kiểm soát smart agent gateway và có thể làm cạn kiệt tài nguyên hoặc khiến hệ thống mục tiêu sập hoàn toàn.

Nội dung mô tả cho thấy kẻ tấn công có thể tận dụng cơ chế WebSocket để bypass quy trình authorization authentication mà không cần xác thực nâng cấp. Khi đã giành quyền điều khiển smart agent gateway, tác động có thể lan sang các thành phần phụ thuộc gateway hoặc các luồng xử lý do gateway điều phối.

Rủi ro vận hành được nêu gồm exhaustion (cạn kiệt) tài nguyên hệ thống hoặc crash hoàn toàn của mục tiêu. 360 nhấn mạnh việc phối hợp báo cáo lên CNVD nhằm giúp cắt giảm cửa sổ bị khai thác, đặc biệt khi lỗ hổng được xác định là zero-day.

Tuyên bố miễn trừ: Bài viết này chỉ nhằm mục đích cung cấp thông tin dưới dạng blog cá nhân, không phải là khuyến nghị đầu tư. Nhà đầu tư cần tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định và chúng tôi không chịu trách nhiệm đối với bất kỳ quyết định đầu tư nào của bạn.

Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, TinTucBitcoin.com hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.