Scoperta una falla di sicurezza critica nel toolkit open-source AIT-GUI della NASA, che espone i sistemi di comando dei veicoli spaziali a potenziali accessi non autorizzati.
La sicurezza delle infrastrutture critiche ha subito un duro colpo con la scoperta di una vulnerabilità critica all'interno dell'AMMOS Instrument Toolkit (AIT)-GUI, il software open-source utilizzato dalla NASA per gestire le comunicazioni con veicoli spaziali e strumenti scientifici. La falla, identificata con il codice GHSA-p9r8-2q67-fp86, ha ottenuto un punteggio CVSS di 9.4, posizionandosi nella fascia di rischio estremo. Sebbene non sia stato ancora assegnato un identificativo CVE ufficiale, la gravità del problema è tale da aver richiesto un intervento immediato da parte del Jet Propulsion Laboratory (JPL).
Il problema risiede nell'architettura del server web integrato nell'interfaccia grafica di AIT-GUI (versioni fino alla 2.5.1). Secondo le analisi condotte dal ricercatore di Cycode, Yuval Elbar, il software presenta tre criticità fondamentali che, combinate, permettono a un attaccante non autenticato di prendere il controllo dei flussi di comando:
La pericolosità di questa vulnerabilità è amplificata dalla capacità di eseguire script lato server e sequenze di comando arbitrarie. Gli endpoint /cmd, /script/run e /seq non implementano una corretta validazione degli input, permettendo il cosiddetto path traversal. Un utente malintenzionato potrebbe manipolare i percorsi dei file per eseguire script al di fuori delle directory autorizzate.
Inoltre, l'attacco non richiede necessariamente un accesso diretto alla rete in cui risiede il server. Poiché le richieste non sono protette da CORS (Cross-Origin Resource Sharing), un operatore che visita un sito web compromesso potrebbe innescare involontariamente l'invio di comandi al sistema di controllo spaziale, trasformando il browser dell'utente in un ponte per l'intrusione.
La NASA ha confermato di aver risolto la falla con il rilascio della versione 2.5.2 del toolkit. L'agenzia ha collaborato attivamente con i ricercatori per mitigare il rischio, pubblicando un advisory di sicurezza dettagliato sulla piattaforma GitHub. Gli ingegneri del JPL sottolineano l'importanza di seguire le best practice del NIST (National Institute of Standards and Technology) per la protezione delle infrastrutture tecnologiche.
Per gli utenti che utilizzano AIT-GUI in ambienti operativi, l'aggiornamento immediato è l'unica difesa efficace. La NASA ha inoltre ribadito il proprio impegno verso la trasparenza, ricordando che le segnalazioni di vulnerabilità devono essere inoltrate attraverso il programma ufficiale di Vulnerability Disclosure Policy (VDP) gestito tramite la piattaforma Bugcrowd. Questo episodio sottolinea quanto sia cruciale applicare rigorosi controlli di accesso e protezioni crittografiche anche in strumenti di ricerca e sviluppo, dove la natura open-source può talvolta far passare in secondo piano la sicurezza del codice in produzione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
