NASA снова оставила дверь открытой: космические аппараты чуть не угнали хакеры

Программное обеспечение для управления космическими аппаратами NASA оказалось дырявым, словно решето после дождя. В открытом доступе находится так называемый AMMOS Instrument Toolkit, или сокращённо AIT — комплект инструментов, позволяющих, ни много ни мало, управлять работой космических миссий. Как выяснил специалист по безопасности Юваль Эльбар из платформы Cycode Agentic Development Security Platform, в этом наборе до последней версии 2.5.1 обнаружилась критическая уязвимость.

Всё дело в веб-интерфейсе AIT-GUI — это такой графический инструмент, благодаря которому инженеры NASA могут, не сходя со стула, отдавать команды спутникам и аппаратам через браузер. Проблема в том, что эта система настырно открывает все сетевые порты и слушает каждый шорох в Сети, словно подозрительный сосед. Но пароля никто не спрашивает — любой желающий может войти и почувствовать себя бортинженером.

Проверки типа "ты кто такой?" здесь отсутствуют напрочь. А заодно и защита от CSRF — сложный термин из мира кибербезопасности, обозначающий, что даже обычный сайт с нехорошим кодом может управлять аппаратами NASA, если оператор по неосторожности посетил не ту ссылку.

Пугает и то, что доступ не нужен даже к внутренней сети NASA: достаточно только знать открытый порт, или переслать жертве ссылку с вредоносным кодом. Так что гипотетический зловред может не только раздавать команды аппаратам NASA, но и подсовывать свои скрипты и файлы, проникать в файловую систему, и выходить фактически на полный контроль.

Всё это могло кончиться гораздо хуже, если бы уязвимость первым нашёл не добросовестный исследователь, а кто-то с менее безобидными планами. На всякий случай всем администраторам советуют немедленно перейти на AIT-GUI версии 2.5.2, перепроверить открытые порты и просмотреть историю команд.