Критична вразливість у ПЗ NASA: як хакери могли керувати космічними апаратами

Як хакери могли отримати доступ до космічних систем NASA

У 2026 році фахівці з кібербезпеки виявили серйозну прогалину в системі управління космічними апаратами, яка використовується агентством. Проблема полягала в тому, що веб-інтерфейс для керування космічними місіями фактично був відкритий для будь-якого користувача з інтернетом. Під час аналізу виявилося, що система навіть не запитувала пароль для доступу до критичних функцій управління апаратами. Це означало, що потенційний зловмисник міг керувати космічною місією просто з браузера звичайного комп'ютера.

Характер критичної вразливості AMMOS Instrument Toolkit

Наземний комплекс AMMOS Instrument Toolkit (AIT) призначений для обробки телеметрії та надсилання команд на космічні апарати. Фахівці з кібербезпеки здійснили детальний аналіз коду та виявили ланцюжок уразливостей, який охоплював кілька критичних недоліків одночасно.

Основні проблеми безпеки системи

• Відкритий мережевий доступ — веб-сервер за замовчуванням слухав на адресі 0.0.0.0 портом 8080, що робило його видимим з глобальної мережі та доступним для зовнішніх атак
• Відсутність аутентифікації — кінцеві точки для надсилання команд (/cmd), запуску скриптів (/script/run) та послідовностей (/seq) не вимагали логіна й паролю
• Фальшива сесійна перевірка — система автоматично генерувала валідні сесійні файли cookie для будь-якого анонімного запиту до головної сторінки, дозволяючи легко обійти навіть мінімальну перевірку
• Уразливість виходу за межі каталогу — маршрут /seq дозволяв отримати доступ до файлів поза виділеною директорією й виконувати довільні скрипти на сервері

Як можна було атакувати систему

Кіберзловмисник міг реалізувати атаку кількома способами. Один з найпростіших варіантів — це міжсайтовий запит CSRF, коли шкідлива веб-сторінка, відвідана оператором NASA у браузері, могла автоматично надсилати команди космічному апарату без будь-якого підтвердження користувача. Система не перевіряла походження запиту й просто виконувала те, що її просили.

Веб-інтерфейс, створений для керування космічними місіями, приймав запити з будь-якого джерела без пароля й міг бути керований через шкідливу веб-сторінку у браузері оператора.

Додатково вразливість виходу за межи дозволеного каталогу відкривала можливість виконання довільного коду на сервері. Це означало, що зловмисник міг не лише надсилати команди, але й запускати власні скрипти та програми на системі.

Роль штучного інтелекту в пошуку вразливості

Цікавий факт: під час дослідження безпеки спеціалісти використовували ШІ-асистент Claude Opus 4.8 для аналізу коду й написання регресійних тестів. Це показує, як штучний інтелект дозволяє швидше виявляти критичні проблеми в складних системах й допомагає розробникам знаходити недоліки до того, як їх використають зловмисники.

Як NASA спробувала закрити прогалину

Компанія видала оновлення AIT-GUI версії 2.5.2, яке вводило кілька змін для підвищення безпеки.

1. Мережевий слухач тепер прив'язувався до локальної адреси localhost замість глобальної 0.0.0.0, що запобігало доступу з інтернету
2. Додана перевірка заголовків Origin та Referer для захисту від CSRF-атак та міжсайтових запитів

Однак дослідники виявили критичний недолік у цьому виправленні: базова система аутентифікації так і не була додана. Це означало, що будь-який запит без облікових даних усе ще міг отримати дійсне сесійне кукі, тому вразливість була закрита лише частково.

Хоча оновлення обмежило доступ до локальної мережі, система все ще приймала команди від будь-якого користувача без паролю, якщо він мав доступ до комп'ютера з серверу.

Чи компрометовані були космічні місії NASA

На момент виявлення вразливості жодних випадків реального використання цієї прогалини не зафіксовано. Космічні апарати й місії NASA не були компрометовані зловмисниками. Однак факт існування такої серйозної уразливості в системі управління космічними апаратами показує, наскільки важливо постійно проводити перевірки безпеки й оновлювати ПЗ.

Висновки й рекомендації для космічної агентури

Виявлена вразливість продемонструвала кілька важливих уроків для організацій, які керують критичною інфраструктурою:

• Аутентифікація — обов'язок. Будь-яка система, що керує критичними ресурсами, повинна мати надійну систему входу й контролю доступу
• Принцип найменшої привілегії. Веб-сервери не повинні за замовчуванням слухати на глобальних адресах — лише на локальних інтерфейсах, якщо це можливо
• Регулярні аудити безпеки. Знаходження критичних прогалин вимагає постійного аналізу коду й тестування новими методами
• Комплексні оновлення. Вирішення проблеми повинне бути всебічним, а не частковим патчем, який не вирішує основну проблему

Ситуація з NASA показує, що навіть найпрофесійніші організації можуть допустити критичні помилки в безпеці. Постійна пильність, регулярні перевірки й використання сучасних інструментів, включаючи штучний інтелект, допомагають знайти й закрити вразливості до того, як їх використають для реальних атак.