Что не так с программой AMMOS
Как сообщает TechRadar, проблема была связана с графическим интерфейсом AMMOS Instrument Toolkit (AIT-GUI) версий до 2.5.1 включительно. Этот инструмент с открытым исходным кодом используется для управления космическими аппаратами и научными приборами.
Исследователь Юваль Элбар из платформы кибербезопасности Cycode обнародовал подробности уязвимости 18 августа 2026 года. По его словам, веб-сервер AIT-GUI работал с открытыми сетевыми интерфейсами и не требовал ни аутентификации, ни авторизации. Отдельно он обратил внимание на то, что разработчики не предусмотрели защиту от межсайтовой подделки запроса (CSRF).
Веб-интерфейс, используемый для управления космическими аппаратами и инструментами, поставлялся с сервером, который прослушивает каждый сетевой интерфейс, ни у кого не запрашивает пароль и которым может управлять любая веб-страница, открытая оператором,
– заявил исследователь безопасности Cycode Юваль Элбар.
Какие риски это создавало для миссий?
Из-за отсутствия базовых мер безопасности злоумышленники могли получить доступ к командным строкам, выполнять серверные скрипты и запускать последовательности команд. Это позволяло передавать на космические аппараты вредоносные файлы или собственные скрипты через обычную веб-сессию в браузере оператора.
Для атаки хакерам не нужно было находиться в одной сети с оператором. Доступ можно было получить через открытый порт или просто заманив его на специально созданную веб-страницу с вредоносным кодом.
Операционное и наземное программное обеспечение унаследовало те же уязвимости, что и все остальное, но с гораздо более высокой ценой ошибки. Аутентификация, защита от CSRF и ограничение ввода не являются необязательными опциями на панели управления оборудованием,
– добавил Юваль Элбар.
Как решили проблему?
Команда разработчиков уже исправила критическую ошибку в выпуске AIT-GUI версии 2.5.2. Специалисты по безопасности призвали системных администраторов срочно обновить программное обеспечение, проверить консольные порты и тщательно изучить историю выполненных команд.
NASA пока воздерживается от публичных комментариев по поводу этой ситуации, поэтому неизвестно, внесли ли уже какие-либо исправления.