--- title: "Критична вразливість у відкритому ПЗ NASA дозволяла надсилати команди на космічні апарати без пароля" description: "Кібераналітики Cycode виявили у відкритому ПЗ NASA AMMOS Instrument Toolkit ланцюг вразливостей, який дозволяв без пароля надсилати команди на космічні апарати. Патч 2.5.2 визнано частковим: автентифікацію так і не додано." date: 2026-08-29T16:14:06.000Z lang: uk url: https://xab.info/uk/posts/krytychna-vrazlivist-nasa-ammos-kosmichni-apparaty-uk tags: [nasa, cybersecurity, vulnerability, ammos, spacecraft, open-source, cwe] publisher: "XAB.info" --- # Критична вразливість у відкритому ПЗ NASA дозволяла надсилати команди на космічні апарати без пароля ![Логотип NASA на синьому колі з орбітою та зірками — символ агенції, відкритий код якої мав критичну вразливість безпеки](https://xab.info/media/2026/08/29/k-nasa-ammos-kosmicheskie-apparaty/k-nasa-ammos-kosmicheskie-apparaty-1.webp) ## 🎯 Key Points - У відкритому ПЗ NASA AMMOS Instrument Toolkit виявлено ланцюг вразливостей (CWE-306, CWE-352, CWE-22), який дозволяв неавторизоване надсилання команд на космічні апарати - Оновлення AIT-GUI 2.5.2 обмежилося прив'язкою до localhost та захистом від CSRF, але базову автентифікацію не додало — фікс визнано частковим - У дослідженні був задіяний ІІ-асистент Claude Opus 4.8 від Anthropic для аналізу коду та написання регресійних тестів - Випадків реального використання вразливості або компрометації діючих місій NASA не зафіксовано Кібераналітики компанії Cycode виявили у відкритому програмному забезпеченні NASA — AMMOS Instrument Toolkit (AIT) — критичний ланцюг вразливостей, який дозволяв неавторизованим користувачам надсилати довільні команди на космічні апарати та виконувати довільні скрипти на сервері. Про це повідомляє РБК-Україна зі ссылкой на технічний звіт Cycode. Наземний комплекс AIT використовується для побудови систем обробки телеметрії та передачі команд на космічні апарати, що робить будь-які прогалини в його безпеці потенційно катастрофічними для діючих місій. ### Як саме працював ланцюг вразливостей За даними Cycode, проблема охоплює одразу кілька класифікацій вразливостей: CWE-306 (відсутність автентифікації критичних функцій), CWE-352 (міжсайтове підроблення запитів, CSRF) та CWE-22 (вихід за межі дозволеного каталогу, Path Traversal). Веб-сервер AIT за замовчуванням прив'язувався до мережевого інтерфейсу 0.0.0.0 на порту 8080, що робило його доступним із зовнішньої мережі без жодних обмежень. Кінцеві точки для надсилання команд (/cmd), запуску скриптів (/script/run) та послідовностей (/seq) не вимагали введення пароля чи логіна. Більше того, система генерувала сесійний кукі sid для будь-якого анонімного запиту на головну сторінку (GET /), що дозволяло обходити поверхневу перевірку сесії та надсилати команди космічному апарату. Маршрут /seq додатково містив вразливість Path Traversal, яка відкривала можливість виконання сторонніх файлів безпосередньо на сервері. ### Чому фікс у версії 2.5.2 визнано частковим Реліз оновлення AIT-GUI версії 2.5.2 обмежив мережевого слухача локальною адресою localhost та додав перевірку заголовків Origin/Referer для захисту від міжсайтових запитів (CSRF). Однак, як зазначають дослідники Cycode, аналіз початкового коду показав, що у версії 2.5.2 базовий механізм автентифікації так і не було додано. Це означає, що будь-який запит без облікових даних все ще може отримати дійсний сесійний кукі, а веб-інтерфейс, створений для управління космічними місіями, по-першому не запитує пароль. Дослідники кваліфікують проблему як виправлену лише частково, що залишає відкритим вектор атаки для локальних або інсайдерських сценаріїв. ### Суперечливі дані Тут виникає ключова розбіжність у оцінках. З одного боку, реліз версії 2.5.2 формально закриває два з трьох виявлених векторів — прив'язку до 0.0.0.0 та CSRF-атаки через шкідливу веб-сторінку в браузері оператора. З іншого боку, відсутність автентифікації в оновленій версії означає, що базовий сценарій — неавторизоване надсилання команд на космічний апарат через локальну мережу або через скомпрометований хост — залишається діючим. Cycode прямо вказує, що проблема «виправлена частково», тоді як сам факт випуску патчу може створювати хибне враження у адміністраторів, що загроза повністю усунута. Таким чином, ступінь закриття вразливості залежить від того, розглядається вона як єдиний ланцюг чи як набір незалежних дефектів. ### ІІ-інструменти в дослідженні вразливостей Окремої уваги заслуговує методологія дослідження: при пошуку вразливості кіберспеціалісти Cycode використовували ІІ-асистента Claude Opus 4.8 від компанії Anthropic, який допоміг проаналізувати початковий код AIT та написати регресійні тести для верифікації виправлень. Цей випадок демонструє зростаючу роль великих мовних моделей у сфері аудиту безпеки критичної інфраструктури, включаючи космічні системи. ### Поточний статус: підтверджених атак не зафіксовано На момент публікації звіту випадків реального використання цієї вразливості злодіями або компрометації діючих космічних місій NASA не зафіксовано. Водночас, маючи на увазі, що AIT є відкритим програмним забезпеченням і може бути розгорнуто не лише в інфраструктурі NASA, а й у системах інших космічних агентств та комерційних операторів, ризик потенційного зловживання залишається актуальним доти, доки не буде реалізовано повноцінний механізм автентифікації. ## 🔍 Fact-Check Verification - [Хакери могли керувати космічними апаратами NASA через критичну вразливість](https://www.rbc.ua/ukr/news/hakeri-mogli-keruvati-kosmichnimi-aparatami-1787739424.html) - Единственный доступный источник. Содержит конкретные технические детали (CWE-306/352/22, порт 8080, маршруты /cmd, /script/run, /seq, версия 2.5.2). Оговорка: фикс описан как частичный, аутентификация не добавлена. Вторичная верификация через независимые источники (CVE-база, репозиторий AIT) в рамках данного задания не проводилась. ## ❓ FAQ ### Q: Що таке AMMOS Instrument Toolkit і навіщо він потрібен? **A:** AIT — це відкрита програмна система NASA, що використовується для побудови систем обробки телеметрії та надсилання команд на космічні апарати. Вона забезпечує зв'язок наземної станції з космічним апаратом. ### Q: Наскільки критична виявлена вразливість? **A:** Вразливість дозволяє неавторизованому користувачу надсилати довільні команди на космічний апарат та виконувати скрипти на сервері без введення пароля. Водночас на момент публікації звіту випадків реального використання злодіями не зафіксовано. ### Q: Повністю чи виправлена проблема у версії 2.5.2? **A:** Ні. Дослідники Cycode вважають фікс частковим: версія 2.5.2 обмежила мережевого слухача localhost та додала захист від CSRF, але базовий механізм автентифікації так і не було реалізовано. ### Q: Яка роль ІІ у виявленні вразливості? **A:** Кіберспеціалісти Cycode використовували ІІ-асистента Claude Opus 4.8 від Anthropic для аналізу початкового коду AIT та написання регресійних тестів, що підтверджують виправлення.