🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança da Cycode revelaram uma cadeia de falhas no AIT-GUI, o console do operador baseado em navegador para o AMMOS Instrument Toolkit de código aberto da NASA/JPL, que permite que um invasor não autenticado emita comandos arbitrários para a espaçonave e o barramento de comando do instrumento do software.
A cadeia, rastreada como GHSA-p9r8-2q67-fp86 e classificada como 9,4 no sistema de pontuação CVSS v3.1, impacta as versões 2.5.1 e anteriores do AIT-GUI e foi abordada na versão 2.5.2. O comunicado, publicado em 13 de agosto de 2026, afirma que nenhum CVE lhe foi atribuído.
O AMMOS Instrument Toolkit é uma estrutura para a construção de sistemas de dados terrestres, o software que envia comandos para instrumentos e naves espaciais e processa a telemetria que retorna. AIT-GUI é seu console do operador, e os terminais em questão retransmitem comandos do operador para um barramento de comando.
"O raio de explosão de um POST não autenticado é medido em comandos de instrumento emitidos, não em páginas desfiguradas", disse Cycode no artigo.
De acordo com o comunicado, o servidor web AIT-GUI lê seu valor de host configurado e depois o descarta, vinculando o ouvinte ao endereço codificado 0.0.0.0 na porta 8080 por padrão, e expõe cada rota de mudança de estado sem autenticação, sem autorização e sem proteção contra falsificação de solicitação entre sites (CSRF).
Duas dessas rotas também criam caminhos de sistema de arquivos a partir de entradas não validadas. As emissões são classificadas como CWE-306, CWE-352 e CWE-22.
O comunicado disse que uma parte não autenticada que possa chegar ao porto pode fazer o seguinte -
Emita comandos arbitrários de instrumentos e naves espaciais via POST /cmd
Execute scripts do lado do servidor via POST /script/run, incluindo arquivos fora do diretório pretendido por meio de passagem de caminho
Execute sequências de comandos via POST /seq, incluindo arquivos fora do diretório passados para um subprocesso
“Uma GUI da web usada para controlar naves espaciais e comandar instrumentos enviou um servidor que escuta todas as interfaces de rede, não pede senha a ninguém e pode ser direcionado por qualquer página da web que um operador abrir”, disse Yuval Elbar, pesquisador de segurança da Cycode.
Como as rotas aceitam corpos de aplicação/x-www-form-urlencoded, que os navegadores tratam como solicitações "simples" de CORS, o comunicado afirma que um POST de origem cruzada as alcança sem pré-voo, portanto, uma implantação local de host ou com firewall permanece explorável se um operador com acesso de navegador ao console visitar uma página controlada por um invasor.
“O tráfego de rede capturado de um navegador real confirma que o POST de origem cruzada é entregue com zero solicitações de pré-voo OPTIONS e o servidor o processa”, disse o comunicado.
O AIT-GUI 2.5.2 foi lançado em 12 de agosto de 2026. Ele vincula o host configurado, padronizando como localhost, adiciona um gancho before_request que compara a origem ou o referenciador de uma solicitação com o próprio host do servidor para POST, PUT, DELETE e PATCH e confina /script/run e /seq aos configurados. raízes.
"Os endpoints de mudança de estado (POST/PUT/DELETE/PATCH) agora rejeitam solicitações de navegador de origem cruzada por meio de uma verificação de mesma origem (Origem/Referente vs Host), mitigando o CSRF. Clientes que não são navegadores e que não enviam nenhum dos cabeçalhos não são afetados", disse o projeto no changelog da versão 2.5.2.
Depois de revisar o comunicado, o The Hacker News examinou a fonte marcada para as versões 2.4.1, 2.5.1 e 2.5.2 no repositório do projeto. Na versão 2.5.2, a rota raiz ainda chama Sessions.create() e emite um cookie de sessão para qualquer solicitação sem uma verificação de credencial, e a rota de comando aceita qualquer solicitação que contenha esse cookie.
THN confirmou na fonte 2.5.2 marcada em 20 de agosto de 2026, que a versão restringe onde o console escuta e bloqueia solicitações de origem cruzada acionadas pelo navegador e não adiciona autenticação ao comando, script ou endpoints de sequência.
Também confirmamos via PyPI em 20 de agosto de 2026 que a última versão publicada do pacote ait-gui é a 2.4.1, carregada em 27 de julho de 2023, e que as versões 2.5.0, 2.5.1 e 2.5.2 não aparecem no histórico de lançamentos. A origem 2.4.1 carrega a mesma ligação 0.0.0.0 codificada e a mesma construção de caminho não confinada em ambas as rotas, e o PyPI não lista vulnerabilidades para ela. O comunicado identifica o ecossistema de pacotes afetado como pip.
Separadamente, um segundo registro cobre o mesmo defeito de autenticação ausente no mesmo arquivo. CVE-2026-60112, classificado como 9,3 no CVSS v4 e creditado a Saidakbarxon Maxsudxonov, foi publicado no National Vulnerability Database e no GitHub Advisory Database em 29 de julho de 2026, três semanas antes da redação do Cycode.
"A GUI do AMMOS Instrument Toolkit (AIT) anterior à versão 2.5.1 contém uma vulnerabilidade de autenticação ausente que permite que qualquer invasor de rede não autenticado obtenha uma sessão válida e emita comandos arbitrários de espaçonaves chamando Sessions.create() sem qualquer verificação de credencial", disse VulnCheck em um aviso com a descrição do CVE.
A cadeia, rastreada como GHSA-p9r8-2q67-fp86 e classificada como 9,4 no sistema de pontuação CVSS v3.1, impacta as versões 2.5.1 e anteriores do AIT-GUI e foi abordada na versão 2.5.2. O comunicado, publicado em 13 de agosto de 2026, afirma que nenhum CVE lhe foi atribuído.
O AMMOS Instrument Toolkit é uma estrutura para a construção de sistemas de dados terrestres, o software que envia comandos para instrumentos e naves espaciais e processa a telemetria que retorna. AIT-GUI é seu console do operador, e os terminais em questão retransmitem comandos do operador para um barramento de comando.
"O raio de explosão de um POST não autenticado é medido em comandos de instrumento emitidos, não em páginas desfiguradas", disse Cycode no artigo.
De acordo com o comunicado, o servidor web AIT-GUI lê seu valor de host configurado e depois o descarta, vinculando o ouvinte ao endereço codificado 0.0.0.0 na porta 8080 por padrão, e expõe cada rota de mudança de estado sem autenticação, sem autorização e sem proteção contra falsificação de solicitação entre sites (CSRF).
Duas dessas rotas também criam caminhos de sistema de arquivos a partir de entradas não validadas. As emissões são classificadas como CWE-306, CWE-352 e CWE-22.
O comunicado disse que uma parte não autenticada que possa chegar ao porto pode fazer o seguinte -
Emita comandos arbitrários de instrumentos e naves espaciais via POST /cmd
Execute scripts do lado do servidor via POST /script/run, incluindo arquivos fora do diretório pretendido por meio de passagem de caminho
Execute sequências de comandos via POST /seq, incluindo arquivos fora do diretório passados para um subprocesso
“Uma GUI da web usada para controlar naves espaciais e comandar instrumentos enviou um servidor que escuta todas as interfaces de rede, não pede senha a ninguém e pode ser direcionado por qualquer página da web que um operador abrir”, disse Yuval Elbar, pesquisador de segurança da Cycode.
Como as rotas aceitam corpos de aplicação/x-www-form-urlencoded, que os navegadores tratam como solicitações "simples" de CORS, o comunicado afirma que um POST de origem cruzada as alcança sem pré-voo, portanto, uma implantação local de host ou com firewall permanece explorável se um operador com acesso de navegador ao console visitar uma página controlada por um invasor.
“O tráfego de rede capturado de um navegador real confirma que o POST de origem cruzada é entregue com zero solicitações de pré-voo OPTIONS e o servidor o processa”, disse o comunicado.
O AIT-GUI 2.5.2 foi lançado em 12 de agosto de 2026. Ele vincula o host configurado, padronizando como localhost, adiciona um gancho before_request que compara a origem ou o referenciador de uma solicitação com o próprio host do servidor para POST, PUT, DELETE e PATCH e confina /script/run e /seq aos configurados. raízes.
"Os endpoints de mudança de estado (POST/PUT/DELETE/PATCH) agora rejeitam solicitações de navegador de origem cruzada por meio de uma verificação de mesma origem (Origem/Referente vs Host), mitigando o CSRF. Clientes que não são navegadores e que não enviam nenhum dos cabeçalhos não são afetados", disse o projeto no changelog da versão 2.5.2.
Depois de revisar o comunicado, o The Hacker News examinou a fonte marcada para as versões 2.4.1, 2.5.1 e 2.5.2 no repositório do projeto. Na versão 2.5.2, a rota raiz ainda chama Sessions.create() e emite um cookie de sessão para qualquer solicitação sem uma verificação de credencial, e a rota de comando aceita qualquer solicitação que contenha esse cookie.
THN confirmou na fonte 2.5.2 marcada em 20 de agosto de 2026, que a versão restringe onde o console escuta e bloqueia solicitações de origem cruzada acionadas pelo navegador e não adiciona autenticação ao comando, script ou endpoints de sequência.
Também confirmamos via PyPI em 20 de agosto de 2026 que a última versão publicada do pacote ait-gui é a 2.4.1, carregada em 27 de julho de 2023, e que as versões 2.5.0, 2.5.1 e 2.5.2 não aparecem no histórico de lançamentos. A origem 2.4.1 carrega a mesma ligação 0.0.0.0 codificada e a mesma construção de caminho não confinada em ambas as rotas, e o PyPI não lista vulnerabilidades para ela. O comunicado identifica o ecossistema de pacotes afetado como pip.
Separadamente, um segundo registro cobre o mesmo defeito de autenticação ausente no mesmo arquivo. CVE-2026-60112, classificado como 9,3 no CVSS v4 e creditado a Saidakbarxon Maxsudxonov, foi publicado no National Vulnerability Database e no GitHub Advisory Database em 29 de julho de 2026, três semanas antes da redação do Cycode.
"A GUI do AMMOS Instrument Toolkit (AIT) anterior à versão 2.5.1 contém uma vulnerabilidade de autenticação ausente que permite que qualquer invasor de rede não autenticado obtenha uma sessão válida e emita comandos arbitrários de espaçonaves chamando Sessions.create() sem qualquer verificação de credencial", disse VulnCheck em um aviso com a descrição do CVE.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #falhas #do #aitgui #da #nasa #podem #permitir #que #invasores #não #autenticados #emitam #comandos #de #naves #espaciais
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário