Uma falha de segurança crítica no AMMOS Instrument Toolkit GUI (AIT-GUI) de código aberto da NASA/JPL poderia permitir que um atacante não autenticado envie comandos em tempo real para naves espaciais e instrumentos científicos, execute scripts arbitrários e execute sequências de comandos sem nunca fazer login.
Detalhes da vulnerabilidade
O pesquisador de segurança Yuval Elbar da Cycode divulgou um problema classificado com 9.4 na escala CVSS v3.1 em 13 de agosto de 2026. Este problema foi corrigido na versão 2.5.2 do AIT-GUI, lançada em 12 de agosto de 2026. O AIT-GUI é o console de operador baseado em navegador para o AMMOS Instrument Toolkit, um framework de código aberto amplamente utilizado para construir sistemas de dados terrestres que enviam comandos para naves espaciais e instrumentos e processam a telemetria que retorna.
Em termos práticos, é o painel que um operador usa para clicar em um botão e ter essa ação traduzida em um comando real enviado ao hardware, o que é precisamente por que um bug de aplicativo web rotineiro se torna tão consequente aqui.
De acordo com o advisory, o servidor web do AIT-GUI lê sua configuração de host configurada e depois a descarta silenciosamente, fixando o listener para vincular em 0.0.0.0 em todas as interfaces de rede na porta 8080 por padrão. Um operador que deliberadamente restringe o console ao localhost ainda acaba expondo-o a toda a rede alcançável.
Falta de autenticação e CSRF
Complicando essa exposição, nenhum dos endpoints de mudança de estado do aplicativo impõe autenticação, autorização ou proteção contra falsificação de solicitação entre sites (CSRF). O endpoint POST /cmd retransmite qualquer string de comando que recebe diretamente para o barramento de comando da nave espacial, enquanto POST /script/run e POST /seq permitem execução de script no lado do servidor e execução de sequência de comandos, respectivamente.
Os dois últimos endpoints também constroem caminhos de sistema de arquivos a partir de entrada de usuário não validada, abrindo a porta para travessia de caminho fora de seus diretórios de script e sequência pretendidos. Os pesquisadores classificaram os problemas sob CWE-306 (autenticação ausente), CWE-352 (CSRF) e CWE-22 (travessia de caminho).
Uma falha rastreada separadamente, CVE-2026-60112, descreve um problema de autenticação ausente relacionado no qual um atacante pode obter uma sessão válida chamando Sessions.create() sem nenhuma verificação de credencial, então invocar handle_cmd() para encaminhar comandos arbitrários diretamente para o barramento de comando AIT. Esse CVE carrega uma pontuação base CVSS v3.1 de 9.8 e foi publicado em 28 de julho de 2026, antes da divulgação completa do GHSA.
Riscos de exploração e mitigação
Como os endpoints vulneráveis aceitam solicitações POST codificadas em formulário padrão, eles se qualificam como solicitações CORS "simples" que os navegadores entregam cross-origin sem uma verificação de pré-voo. Isso significa que mesmo uma implantação que é isolada por firewall da internet aberta não é necessariamente segura: se um operador com acesso de navegador ao console simplesmente visitar uma página web maliciosa, essa página pode submeter silenciosamente um formulário que dispara comandos no console em segundo plano.
Sem credenciais, sem interação do usuário além de abrir uma página e sem exposição direta de rede são necessários para que esse caminho de ataque tenha sucesso. A NASA-AMMOS corrigiu a falha no AIT-GUI 2.5.2, e as organizações que executam o software são fortemente instadas a atualizar imediatamente e verificar se a porta do console não é alcançável a partir de redes não confiáveis.
A divulgação da Cycode também recomenda revisar o histórico de comandos e sequências para qualquer implantação que possa ter sido exposta antes do patch. Para equipes que mantêm ou endurecem implantações, as correções duráveis incluem adicionar autenticação, autorização e proteções CSRF a cada rota de mudança de estado; vincular o servidor ao seu host configurado em vez do 0.0.0.0 fixo; e confinar caminhos de script e sequência usando verificações de canonicização que espelham uma salvaguarda já presente em outro lugar na base de código no endpoint /scripts/load.
Lição para sistemas operacionais
A divulgação sublinha uma lição mais ampla para sistemas terrestres e tecnologia operacional: essas plataformas herdam as mesmas fraquezas de aplicativo web vistas em software comum, mas o custo de uma exploração bem-sucedida é medido em ações de hardware do mundo real em vez de violações de dados. Nenhuma CVE havia sido formalmente atribuída ao advisory GHSA no momento da escrita, embora uma CVE-2026-60112 relacionada já tenha sido registrada no National Vulnerability Database.