Lỗ hổng AIT-GUI của NASA/JPL có thể cho phép gửi lệnh tàu vũ trụ không cần xác thực
"Cycode disclosed multiple flaws in NASA/JPL's AIT-GUI that let unauthenticated attackers issue spacecraft and instrument commands, run scripts, and trigger command sequences through exposed HTTP endpoints. The issues include missing authentication/authorization, CSRF weaknesses, and path traversal (CWE-306, CWE-352, CWE-22); Cycode lists AIT-GUI 2.5.1 and earlier as affected and 2.5.2 as fixed, while a separate advisory also tracks the missing-authentication defect as CVE-2026-60112."
Rủi ro cao với hệ thống điều khiển tàu vũ trụ và thiết bị khoa học; có thể dẫn tới phát lệnh trái phép nếu dịch vụ bị truy cập từ mạng nội bộ hoặc qua trình duyệt bị lợi dụng.
Có thể ảnh hưởng tới vận hành nhiệm vụ, tính sẵn sàng của hệ thống điều khiển và an toàn dữ liệu telemetry; việc khắc phục có thể cần nâng cấp khẩn cấp và rà soát cấu hình mạng.
Cycode công bố nhiều lỗ hổng trong AIT-GUI của NASA/JPL, giao diện điều khiển trên trình duyệt thuộc bộ công cụ AMMOS Instrument Toolkit. Theo báo cáo, kẻ tấn công không cần xác thực có thể gửi lệnh tới command bus của tàu vũ trụ và thiết bị, chạy script hoặc kích hoạt chuỗi lệnh thông qua các HTTP endpoint bị lộ.
Các vấn đề được gắn với CWE-306 (thiếu xác thực), CWE-352 (CSRF) và CWE-22 (path traversal). Cycode cho biết các phiên bản AIT-GUI 2.5.1 trở xuống bị ảnh hưởng và 2.5.2 đã khắc phục một phần bằng cách siết ràng buộc host, thêm kiểm tra Origin/Referer với Host cho các yêu cầu thay đổi trạng thái, và giới hạn đường dẫn của /script/run và /seq. Tuy nhiên, một số phân tích độc lập cũng chỉ ra rằng cơ chế thiếu xác thực vẫn là điểm cần lưu ý trong chuỗi lỗ hổng.
Với môi trường điều khiển hạ tầng trọng yếu, rủi ro chính là việc một phiên trình duyệt hoặc yêu cầu mạng hợp lệ có thể bị lợi dụng để phát lệnh trái phép. Khuyến nghị: nâng cấp lên bản đã vá, hạn chế truy cập mạng tới cổng quản trị, kiểm tra xác thực/ủy quyền cho các endpoint thay đổi trạng thái, và giám sát nhật ký lệnh để phát hiện hoạt động bất thường.