1bf5402d34
- 3-create-persistence.ps1: chain dd && mkfs.ext4 with && (was ;, so dd
failures still ran mkfs and produced bogus images); fix \wsl$\$wslDistro
variable expansion ambiguity using \${wslDistro}; mirror docker-desktop
branch with the same && chaining
- setup-openclaw.sh: guard mktemp failure; ensure partial node tarballs are
cleaned via EXIT trap; tolerate hosts with no non-loopback NIC under
pipefail; don't let test-installation.sh failure exit the post-install
- install.sh: add `set -o pipefail`; surface npm install failures (was
hidden by `| tail -5`); JSON-escape user-provided API_KEY before writing
to openclaw.json so keys with backslashes/quotes don't break the config
- Add SECURITY.md: private disclosure channel + scope
62 lines
2.7 KiB
Markdown
62 lines
2.7 KiB
Markdown
# 安全策略 / Security Policy
|
||
|
||
感谢你关注 U-Claw 的安全性。本文档说明如何向我们报告安全漏洞，以及我们当前支持的版本。
|
||
|
||
## 报告漏洞 / Reporting a Vulnerability
|
||
|
||
**请不要在公开 issue 里发布安全漏洞细节。**
|
||
|
||
如果你发现了 U-Claw 的安全问题，请通过以下任一渠道私下联系：
|
||
|
||
- 邮件：`hefangsheng@u-claw.org`（建议附 PoC、影响范围、复现步骤）
|
||
- GitHub 私密漏洞报告：在 [u-claw 仓库](https://github.com/dongsheng123132/u-claw) 的 Security 标签页 → "Report a vulnerability"
|
||
|
||
我们会在 **3 个工作日内** 确认收到，并在 **14 天内** 给出初步评估。请允许我们在公开披露前修复问题。
|
||
|
||
### 报告内容建议
|
||
|
||
- 受影响的模块（portable / install / bootable / u-claw-app）
|
||
- 受影响的版本或 commit hash
|
||
- 触发条件、攻击面（本地 / 局域网 / 互联网）
|
||
- 复现步骤或 PoC 代码
|
||
- 你建议的缓解或修复方向
|
||
|
||
## 支持的版本 / Supported Versions
|
||
|
||
| 模块 | 版本 | 状态 |
|
||
|------|------|------|
|
||
| `portable/` | 当前 main | ✅ 接受报告 |
|
||
| `install/` (`install.sh` / `install.ps1`) | 当前 main | ✅ 接受报告 |
|
||
| `bootable/` (Linux U 盘) | 当前 main | ✅ 接受报告 |
|
||
| `u-claw-app/` Electron | 当前 main | ✅ 接受报告 |
|
||
| 历史 release tag | — | ⚠️ 仅做严重等级评估，不一定回滚补丁 |
|
||
|
||
我们暂未发布稳定版本号，所有修复直接在 main 分支推送。
|
||
|
||
## 范围 / In-Scope vs Out-of-Scope
|
||
|
||
### 在范围内（请报告）
|
||
|
||
- U-Claw 自身脚本中的命令注入、路径穿越、任意写入、代码执行
|
||
- `data/.openclaw/openclaw.json` 配置加载/写入逻辑中的注入
|
||
- 启动脚本（`Mac-Start.command` / `Windows-Start.bat` / `start.sh`）
|
||
在恶意目录名/环境变量下被劫持的可能
|
||
- 一键安装 (`curl | bash` / `irm | iex`) 链路上的 MITM 风险
|
||
- Bootable USB 制作脚本生成的产物在 Linux Live 环境下的提权问题
|
||
|
||
### 不在范围内
|
||
|
||
- 上游依赖（Node.js / OpenClaw / Electron / Ventoy / Ubuntu）的漏洞 —
|
||
请直接报给上游项目；我们只跟踪并升级版本。
|
||
- 用户主动把自己的 API Key 写到公开仓库 / 截图泄露，不属于本项目缺陷。
|
||
- 物理接触 USB 后的所有攻击（含偷换 USB、键盘记录等），属于硬件安全场景。
|
||
- 在用户已经获得 admin/root 权限的情况下能做的进一步动作。
|
||
|
||
## 致谢 / Acknowledgements
|
||
|
||
发现并负责任披露安全问题的研究者，将在修复发布的 commit message 和 release notes 中署名感谢（除非你要求匿名）。
|
||
|
||
---
|
||
|
||
> 本策略借鉴了 GitHub 推荐的开源安全披露格式，未来会随项目成熟度更新。
|