Le fait
Des chercheurs en sécurité de Cycode ont révélé une chaîne de vulnérabilités affectant AIT-GUI, l’interface opérateur basée sur navigateur de l’AMMOS Instrument Toolkit, logiciel open source développé pour la NASA/JPL. Ces failles permettent, selon le rapport, à un attaquant non authentifié d’émettre des commandes arbitraires vers le bus de commandes des engins spatiaux et des instruments.
Le contexte
AIT-GUI sert d’interface pour contrôler et superviser des instruments et des engins via l’AMMOS Instrument Toolkit (outil ouvert utilisé au sein de la NASA/JPL). La vulnérabilité a été suivie sous l’identifiant GHSA-p9r8-2q67-fp86 et se voit attribuer un score de 9,4 sur l’échelle CVSS v3.1, indiquant une gravité élevée.
L’impact / les échéances
En permettant à un attaquant non authentifié d’envoyer des commandes arbitraires, la chaîne de failles expose potentiellement des fonctions critiques de supervision et de contrôle des instruments et véhicules spatiaux qui s’appuient sur AIT-GUI. Le degré de risque opérationnel dépendra des déploiements concrets d’AIT-GUI et des mesures d’atténuation en place chez les utilisateurs. Le score CVSS élevé souligne l’urgence d’une évaluation et d’une correction par les équipes concernées.
Ce qu’il faut retenir
- La vulnérabilité touche AIT-GUI, composant navigateur de l’AMMOS Instrument Toolkit de la NASA/JPL.
- Elle permet l’émission de commandes par un attaquant non authentifié et bénéficie d’un score CVSS v3.1 de 9,4 (GHSA-p9r8-2q67-fp86).
- Les opérateurs et administrateurs utilisant AIT-GUI doivent prioriser l’analyse, l’application des correctifs ou mesures d’atténuation fournies par les responsables du projet.
Source : The Hacker News
