Кібераналітики компанії Cycode виявили у відкритому програмному забезпеченні NASA — AMMOS Instrument Toolkit (AIT) — критичний ланцюг вразливостей, який дозволяв неавторизованим користувачам надсилати довільні команди на космічні апарати та виконувати довільні скрипти на сервері. Про це повідомляє РБК-Україна зі ссылкой на технічний звіт Cycode. Наземний комплекс AIT використовується для побудови систем обробки телеметрії та передачі команд на космічні апарати, що робить будь-які прогалини в його безпеці потенційно катастрофічними для діючих місій.

Як саме працював ланцюг вразливостей

За даними Cycode, проблема охоплює одразу кілька класифікацій вразливостей: CWE-306 (відсутність автентифікації критичних функцій), CWE-352 (міжсайтове підроблення запитів, CSRF) та CWE-22 (вихід за межі дозволеного каталогу, Path Traversal). Веб-сервер AIT за замовчуванням прив'язувався до мережевого інтерфейсу 0.0.0.0 на порту 8080, що робило його доступним із зовнішньої мережі без жодних обмежень. Кінцеві точки для надсилання команд (/cmd), запуску скриптів (/script/run) та послідовностей (/seq) не вимагали введення пароля чи логіна. Більше того, система генерувала сесійний кукі sid для будь-якого анонімного запиту на головну сторінку (GET /), що дозволяло обходити поверхневу перевірку сесії та надсилати команди космічному апарату. Маршрут /seq додатково містив вразливість Path Traversal, яка відкривала можливість виконання сторонніх файлів безпосередньо на сервері.

Чому фікс у версії 2.5.2 визнано частковим

Реліз оновлення AIT-GUI версії 2.5.2 обмежив мережевого слухача локальною адресою localhost та додав перевірку заголовків Origin/Referer для захисту від міжсайтових запитів (CSRF). Однак, як зазначають дослідники Cycode, аналіз початкового коду показав, що у версії 2.5.2 базовий механізм автентифікації так і не було додано. Це означає, що будь-який запит без облікових даних все ще може отримати дійсний сесійний кукі, а веб-інтерфейс, створений для управління космічними місіями, по-першому не запитує пароль. Дослідники кваліфікують проблему як виправлену лише частково, що залишає відкритим вектор атаки для локальних або інсайдерських сценаріїв.

Суперечливі дані

Тут виникає ключова розбіжність у оцінках. З одного боку, реліз версії 2.5.2 формально закриває два з трьох виявлених векторів — прив'язку до 0.0.0.0 та CSRF-атаки через шкідливу веб-сторінку в браузері оператора. З іншого боку, відсутність автентифікації в оновленій версії означає, що базовий сценарій — неавторизоване надсилання команд на космічний апарат через локальну мережу або через скомпрометований хост — залишається діючим. Cycode прямо вказує, що проблема «виправлена частково», тоді як сам факт випуску патчу може створювати хибне враження у адміністраторів, що загроза повністю усунута. Таким чином, ступінь закриття вразливості залежить від того, розглядається вона як єдиний ланцюг чи як набір незалежних дефектів.

ІІ-інструменти в дослідженні вразливостей

Окремої уваги заслуговує методологія дослідження: при пошуку вразливості кіберспеціалісти Cycode використовували ІІ-асистента Claude Opus 4.8 від компанії Anthropic, який допоміг проаналізувати початковий код AIT та написати регресійні тести для верифікації виправлень. Цей випадок демонструє зростаючу роль великих мовних моделей у сфері аудиту безпеки критичної інфраструктури, включаючи космічні системи.

Поточний статус: підтверджених атак не зафіксовано

На момент публікації звіту випадків реального використання цієї вразливості злодіями або компрометації діючих космічних місій NASA не зафіксовано. Водночас, маючи на увазі, що AIT є відкритим програмним забезпеченням і може бути розгорнуто не лише в інфраструктурі NASA, а й у системах інших космічних агентств та комерційних операторів, ризик потенційного зловживання залишається актуальним доти, доки не буде реалізовано повноцінний механізм автентифікації.