CVE-2026-26327

OpenClaw şəxsi süni intellekt köməkçisidir. Kəşf mayakları (Bonjour/mDNS və DNS-SD) `lanHost`, `tailnetDns`, `gatewayPort` və `gatewayTlsSha256` kimi TXT qeydlərini ehtiva edir. TXT qeydləri autentifikasiya olunmamışdır. Versiya 2026.2.14-dən əvvəl bəzi klientlər TXT dəyərlərini avtoritar marşrutlaşdırma/pinning girişləri kimi qəbul edirdi. iOS və macOS bağlantı URL-ni qurmaq üçün TXT tərəfindən təmin edilən host ipuclarından (`lanHost`/`tailnetDns`) və portlardan (`gatewayPort`) istifadə edirdi. iOS və Android kəşf vasitəsilə təmin edilən TLS barmaq izinin (`gatewayTlsSha256`) əvvəllər saxlanılmış TLS pinini əvəz etməsinə icazə verirdi. Paylaşılan/etibarsız LAN şəbəkəsində hücumçu saxta `_openclaw-gw._tcp` xidmətini elan edə bilərdi. Bu, klientin hücumçu tərəfindən idarə olunan son nöqtəyə qoşulmasına və/və ya hücumçu sertifikatını qəbul etməsinə səbəb ola bilərdi ki, bu da bağlantı zamanı Gateway etibarnamələrinin (`auth.token` / `auth.password`) sızdırılmasına gətirib çıxara bilərdi. Nəşr edildiyi vaxt etibarilə iOS və Android tətbiqləri alfa mərhələsindədir və geniş yayılmayıb (App Store / Play Store-da ictimai buraxılışı yoxdur). Praktiki təsir əsasən həmin versiyaları işlədən tərtibatçılar/test edicilər, həmçinin paylaşılan/etibarsız LAN-da kəşf funksiyasından asılı olan digər yayılmış klientlərlə məhdudlaşır. Versiya 2026.2.14 bu problemi aradan qaldırır. Klientlər artıq TXT tərəfindən təmin edilən marşrutlaşdırma ipuclarına nisbətən həll edilmiş xidmət son nöqtəsinə (SRV + A/AAAA) üstünlük verir. Kəşf vasitəsilə təmin edilən barmaq izləri artıq saxlanılmış TLS pinlərini əvəz etmir. iOS/Android-də ilk dəfə yaradılan TLS pinləri istifadəçinin açıq təsdiqini tələb edir (barmaq izi göstərilir; gizli TOFU yoxdur) və kəşf əsaslı birbaşa bağlantılar yalnız TLS ilə həyata keçirilir. Android-də host adının doğrulanması artıq qlobal şəkildə söndürülmür (yalniz pinning zamanı yan keçilir).