Vulnerabilità · 54 giorni fa
AIT-GUI rompe l'assunzione che una console operatore sia al sicuro solo perché passa da un browser e da una rete interna. Cycode ha trovato che le versioni fino alla 2.5.1 accettano richieste di comando senza autenticazione, con un punteggio CVSS 9.4, e il difetto è stato corretto in 2.5.2.
Il server ascoltava su tutte le interfacce di rete e le route che cambiano stato non avevano autenticazione, autorizzazione né protezione CSRF. In pratica, una pagina malevola visitata dall'operatore, o un host raggiungibile, poteva far eseguire alla console comandi, script e sequenze come se fossero partiti da un clic legittimo.
Per chi usa AIT-GUI per controllare strumenti o spacecraft, il punto non è l'interfaccia web in sé ma il varco tra browser e piano di comando: un browser compromesso può diventare il ponte verso funzioni privilegiate. Questa è una correzione da applicare subito, perché il rischio resta nel canale di fiducia, non solo nella singola istanza esposta.
2 fonti che coprono questa storia
NASA AIT-GUI Flaws Could Let Unauthenticated Attackers Issue Spacecraft Commands
NASA AIT-GUI flaws could let unauthenticated attackers issue spacecraft commands; version 2.5.2 limits exposure but still lacks authentication.
NASA Ground Control Software Flaw Enables Unauthenticated Commands
Critical AIT-GUI flaws expose spacecraft commands and scripts to unauthenticated attackers
Part of the PlainSec briefing for 2026-08-19