OpenClaw QQBot Eklentisinde Kritik SSRF Güvenlik Açığı Keşfedildi

OpenClaw QQBot’da Kritik SSRF Güvenlik Açığı Tespit Edildi — Saldırganlar Hassas Sistemlere Sızabilir

Açık kaynaklı OpenClaw platformunun QQBot eklentisinde Server-Side Request Forgery (SSRF) adı verilen ciddi bir güvenlik açığı bulundu. Bu açıklık, saldırganlara hassas iç hizmetlere ve bulut sistemlerine erişim yetkisi verebiliyor. Güvenlik uzmanları tarafından 2026’nın Nisan ayında yayınlanan rapor, OpenClaw geliştiricilerinin hızla müdahale ettiğini ve 2026.4.20 sürümünde bu açıklığı kapattığını doğruluyor.

Saldırganlar, bu açıklığı kullanarak QQ Open Platform API’sini manipüle edebiliyor ve platformun doğrulanmamış medya URL’lerini yanıltıcılara yönlendirebiliyor. Bu şekilde, saldırganlar hem sistem içindeki diğer hizmetlere hem de bulut platformlarının meta veri uç noktalarına erişim sağlayabiliyor. Açık, CVE-918 olarak sınıflandırılmış olup, düşük şiddetli olarak değerlendiriliyor ancak yine de ciddi riskler barındırıyor.

Açıklık Nasıl Çalışıyor? — Teknik Ayrıntılar

Bu SSRF açıklığı, OpenClaw QQBot’un medya URL’lerini doğrulama sürecindeki eksiklikten kaynaklanıyor. Saldırganlar, aşağıdaki adımları izleyerek bu açıklığı istismar edebiliyor:

• Hedef URL’nin manipüle edilmesi: Saldırgan, QQBot’a gönderilen medya URL’sini değiştirerek, platformun bu URL’yi QQ Open Platform API’sine iletmesini sağlıyor.
• Sınırsız HTTP istekleri: API, değiştirilmiş URL’yi alarak hedef sisteme istek gönderiyor. Bu istekler, hem dahili IP adreslerine hem de bulut sistemlerinin meta veri uç noktalarına yönlendirilebiliyor.
• Bilgi sızdırma ve tarama: Saldırganlar, yanıtlar üzerinden sistem hakkında bilgi toplayabiliyor veya dahili ağdaki diğer hizmetleri tespit edebiliyor.

Açık, CWE-918 olarak sınıflandırılmış olup, ağ tabanlı saldırı vektörü olarak değerlendiriliyor. Etkisi ise bilgi sızdırma ve iç ağ tarama olarak özetlenebilir. Güvenlik araştırmacıları tarafından hazırlanan Proof of Concept (PoC) saldırısı, bu açıklığın kolayca istismar edilebileceğini gösteriyor.

Etkilenen Sistemler ve Kullanıcılar — Hızla Yükseltme Yapın

Bu SSRF açıklığı, aşağıdaki sistemleri ve kullanıcıları doğrudan etkiliyor:

• OpenClaw Platformu — Tüm kullanıcılar ve geliştiriciler
• OpenClaw QQBot Eklentisi — Medya URL’lerini işleyen tüm kurulumlar
• Açık kaynak kodlu `openclaw` paketi — Sürüm 2026.4.20’nin altındaki tüm versiyonlar

OpenClaw geliştiricileri, bu açıklığı 4 Nisan 2026 tarihinde yayınlanan 2026.4.20 sürümüyle kapattı. Kullanıcıların ivedilikle yükseltme yapması gerekiyor. Aksi takdirde, saldırganlar tarafından sistem güvenliklerinin ihlal edilme riski bulunuyor.

Açıklığı Kapatmak için Adımlar — Uygulama ve Güvenlik Önerileri

OpenClaw ekibi, açıklığı kapatmak için bir dizi yama yayınladı. Kullanıcıların aşağıdaki adımları izlemesi öneriliyor:

1. OpenClaw Paketini Güncelleyin

• Proje bağımlılıklarını kontrol edin ve openclaw paketinin 2026.4.20 veya üzeri bir versiyona sahip olduğundan emin olun.
• Eğer package.json dosyanızda bağımlılık olarak belirtilmişse, aşağıdaki komutu çalıştırın:

npm install openclaw@latest
# veya
pip install --upgrade openclaw

2. Sıkı URL Doğrulama Politikaları Uygulayın

• HTTPS protokolünü zorunlu kılın ve sadece onaylı alan adlarına izin verin.
• RFC 1918’e ait IP adreslerini ve bulut sistemlerinin meta veri uç noktalarını engelleyin.

3. Web Uygulama Güvenlik Duvarı (WAF) Kuralları Ekleyin

• Geçici bir koruma sağlamak için WAF kurallarını yapılandırın.
• Özel olarak SSRF saldırılarına karşı koruma sağlayan modüller kullanın.

4. Sistemleri Yeniden Başlatın ve Doğrulayın

• OpenClaw hizmetlerini yeniden başlatarak yeni versiyonun uygulanmasını sağlayın.
• Güncellemenin ardından, resolvePinnedHostnameWithPolicy bloklarının doğru şekilde çalışıp çalışmadığını test edin.

Gelecek için Önlemler — Sıkı Güvenlik Kontrolleri

Bu olay, açık kaynaklı yazılımların güvenliği için önemli bir hatırlatma niteliğinde. Geliştiriciler ve kullanıcılar, aşağıdaki önlemleri alarak benzer risklerin önüne geçebilir:

• Düzenli bağımlılık güncellemeleri yaparak yeni güvenlik açıklarını takip edin.
• Otomatik güvenlik tarama araçları kullanarak kodlardaki zayıflıkları tespit edin.
• Güvenlik açıkları raporlama sistemlerine katılın ve toplulukla işbirliği yapın.

OpenClaw ekibi, gelecekte benzer açıklıkların önüne geçmek için daha sıkı doğrulama mekanizmaları geliştirmeyi planlıyor. Kullanıcıların da bu süreçte aktif rol alması, hem kendi sistemlerini hem de topluluk güvenliğini artıracaktır.