La NASA vuelve a dejar la puerta abierta: los hackers estuvieron a punto de secuestrar sus naves
El software que controla las naves espaciales de la NASA tenía más agujeros que un colador. El llamado AMMOS Instrument Toolkit, o AIT, un conjunto de herramientas que permite, ni más ni menos, controlar las misiones espaciales, está disponible públicamente. El experto en seguridad Yuval Elbar, de Cycode Agentic Development Security Platform, descubrió una vulnerabilidad crítica en el conjunto, presente hasta la última versión, la 2.5.1.
El problema está en AIT-GUI, su interfaz web: una herramienta gráfica que permite a los ingenieros de la NASA dar órdenes a satélites y naves desde el navegador, sin levantarse de la silla. El sistema, sin embargo, abre todos los puertos de red y escucha cualquier ruido en internet, como un vecino sospechoso. Y ni siquiera pide contraseña: cualquiera puede entrar y sentirse ingeniero de vuelo.
Aquí no existe ni rastro de la pregunta «¿quién eres?». Tampoco hay protección contra CSRF, un término técnico de ciberseguridad que significa que incluso una página web corriente con código malicioso podría controlar las naves de la NASA si un operador, por descuido, visitara el enlace equivocado.
Lo inquietante es que ni siquiera hace falta acceder a la red interna de la NASA: basta con conocer el puerto abierto o enviar a la víctima un enlace con código malicioso. Así, un posible atacante podría no solo dar órdenes a las naves de la NASA, sino también colar sus propios scripts y archivos, acceder al sistema de ficheros y, en la práctica, hacerse con el control total.
Todo podría haber acabado mucho peor si la vulnerabilidad la hubiera encontrado primero alguien con intenciones menos inocentes que un investigador responsable. Por precaución, se recomienda a todos los administradores actualizar de inmediato a AIT-GUI 2.5.2, volver a comprobar los puertos abiertos y revisar el historial de órdenes.
PEREC.RU
La NASA vuelve a explorar el espacio con su habitual despreocupación por los fundamentos de la ciberseguridad. La gran noticia: el paquete de software para controlar naves espaciales permitía a cualquiera ponerse al mando de una misión. Yuval Elbar, de Cycode, tuvo que señalarlo con el dedo: la interfaz web oficial no pedía credenciales ni hacía comprobaciones; daba hasta miedo abrir un enlace. La NASA considera las contraseñas un lujo opcional y la protección contra CSRF duerme abrazada a la idea del código abierto. El motivo es simple: la interfaz escucha en todos los puertos y no limita el acceso por red. Las posibilidades de ataque son para echarse a temblar: desde conectarse directamente hasta aprovecharse de las acciones de los propios ingenieros. No hace falta ser espía: basta con acertar el puerto o atraer a la víctima a una página maliciosa. La NASA recomienda actualizar a la versión 2.5.2, revisar los puertos y consultar el historial de órdenes. El consejo de guardia: si tu interfaz de software puede lanzar cohetes, quizá convenga marcar la casilla «exigir contraseña». Quién sabe qué otras puertas «secretas» tendrá la NASA. No nos sorprendería que por ahí anduviera ya un Gagarin hacker.
