Kritische Schwachstelle in NASA-Open-Source-Software erlaubte das Senden von Befehlen an Raumfahrzeuge ohne Passwort

Cyber-Analysten des Unternehmens Cycode haben im offenen NASA-Softwarepaket AMMOS Instrument Toolkit (AIT) eine kritische Kette von Schwachstellen entdeckt, die es nicht autorisierten Benutzern ermöglichte, beliebige Befehle an Raumfahrzeuge zu senden und beliebige Skripte auf dem Server auszuführen. Dies berichtet RBC-Ukraine unter Verweis auf den technischen Bericht von Cycode. Die Bodenstation AIT wird zum Aufbau von Systemen zur Telemetrieverarbeitung und zur Übertragung von Befehlen an Raumfahrzeuge verwendet, was jede Sicherheitslücke in ihr potenziell katastrophal für laufende Missionen macht.

Wie genau die Kette der Schwachstellen funktionierte

Laut Cycode umfasst das Problem mehrere Schwachstellenklassifikationen: CWE-306 (Fehlende Authentifizierung kritischer Funktionen), CWE-352 (Cross-Site-Request-Forgery, CSRF) und CWE-22 (Path Traversal, Verlassen des erlaubten Verzeichnisses). Der AIT-Webserver war standardmäßig an das Netzwerkinterface 0.0.0.0 auf Port 8080 gebunden, was ihn ohne jegliche Einschränkungen aus dem externen Netzwerk erreichbar machte. Die Endpunkte zum Senden von Befehlen (/cmd), zum Ausführen von Skripten (/script/run) und von Sequenzen (/seq) erforderten keine Passworteingabe oder Anmeldung. Darüber hinaus generierte das System für jede anonyme Anfrage an die Hauptseite (GET /) eine Sitzungs-Cookie sid, was es ermöglichte, die oberflächliche Sitzungsprüfung zu umgehen und Befehle an das Raumfahrzeug zu senden. Die Route /seq enthielt zusätzlich eine Path-Traversal-Schwachstelle, die das Ausführen fremder Dateien direkt auf dem Server ermöglichte.

Warum der Fix in Version 2.5.2 als teilweise gilt

Die Veröffentlichung des AIT-GUI-Updates Version 2.5.2 beschränkte den Netzwerkhörer auf die lokale Adresse localhost und fügte eine Prüfung der Origin/Referer-Header zur Abwehr von Cross-Site-Anfragen (CSRF) hinzu. Allerdings zeigte, wie die Cycode-Forscher anmerken, die Analyse des Quellcodes, dass in Version 2.5.2 der grundlegende Authentifizierungsmechanismus immer noch nicht hinzugefügt wurde. Das bedeutet, dass jede Anfrage ohne Anmeldedaten weiterhin eine gültige Sitzungs-Cookie erhalten kann, und die Benutzeroberfläche, die zur Steuerung von Weltraummissionen erstellt wurde, fragt nach wie vor kein Passwort ab. Die Forscher klassifizieren das Problem als nur teilweise behoben, was einen Angriffsvektor für lokale oder Insider-Szenarien offen lässt.

Widersprüchliche Daten

Hier entsteht ein wesentlicher Unterschied in den Bewertungen. Einerseits schließt die Veröffentlichung von Version 2.5.2 formal zwei der drei identifizierten Vektoren ab – die Bindung an 0.0.0.0 und CSRF-Angriffe über eine bösartige Webseite im Browser des Operators. Andererseits bedeutet das Fehlen einer Authentifizierung in der aktualisierten Version, dass das grundlegende Szenario – das nicht autorisierte Senden von Befehlen an ein Raumfahrzeug über das lokale Netzwerk oder über einen kompromittierten Host – weiterhin gültig bleibt. Cycode weist ausdrücklich darauf hin, dass das Problem „nur teilweise behoben“ wurde, während die bloße Veröffentlichung des Patches bei Administratoren den falschen Eindruck erwecken kann, die Bedrohung sei vollständig beseitigt. Der Grad der Schließung der Schwachstelle hängt somit davon ab, ob sie als einheitliche Kette oder als Sammlung unabhängiger Defizite betrachtet wird.

KI-Werkzeuge bei der Schwachstellenforschung

Besondere Aufmerksamkeit verdient die Methodik der Untersuchung: Bei der Suche nach der Schwachstelle nutzten die Cycode-Cybersicherheitsexperten den KI-Assistenten Claude Opus 4.8 des Unternehmens Anthropic, der half, den Quellcode von AIT zu analysieren und Regressionstests zur Verifikation der Korrekturen zu schreiben. Dieser Fall zeigt die wachsende Rolle großer Sprachmodelle im Bereich der Sicherheitsüberwachung kritischer Infrastrukturen, einschließlich Weltraumsysteme.

Aktueller Status: Keine bestätigten Angriffe festgestellt

Zum Zeitpunkt der Veröffentlichung des Berichts wurden keine Fälle einer tatsächlichen Nutzung dieser Schwachstelle durch Angreifer oder einer Kompromittierung laufender NASA-Weltraummissionen festgestellt. Dennoch bleibt, da AIT eine Open-Source-Software ist und nicht nur in der NASA-Infrastruktur, sondern auch in Systemen anderer Weltraumagenturen und kommerzieller Betreiber deployed werden kann, das Risiko eines potenziellen Missbrauchs so lange aktuell, bis ein vollständiger Authentifizierungsmechanismus implementiert wurde.