NASA地上管制ソフトウェアの欠陥、認証なしでのコマンド実行を許してしまう

NASAのオープンソース地上系ソフトウェア「AMMOS Instrument Toolkit(AIT)-GUI」に、認証されていない攻撃者が探査機や観測機器へのコマンド発行、サーバー側スクリプトの実行、コマンドシーケンスの実行を行えてしまう重大な脆弱性が見つかりました。

AIT-GUIは、機器や探査機と通信する地上データシステム向けのオープンソースフレームワーク「AMMOS Instrument Toolkit」用の、ブラウザベースの操作コンソールです。

この欠陥はGHSA-p9r8-2q67-fp86として追跡されており、CVSS評価は9.4、AIT-GUIバージョン2.5.1までが影響を受けます。本稿執筆時点ではCVE番号は割り当てられていません。

Cycodeの研究者Yuval Elbar氏が8月18日にこの調査結果を公表しており、欠陥はすでにAIT-GUI 2.5.2で修正されています。

関連記事: 欧州宇宙機関、サーバー侵害を確認

認証なしAPIがコマンド機能を露出

AIT-GUIは、設定されたホスト設定に従わず、すべてのネットワークインターフェース上でウェブサーバーを起動してしまいます。加えて、状態を変更するエンドポイントにはAPI側の認証・認可やクロスサイトリクエストフォージェリ(CSRF)対策が一切施されていません。

/cmdルートはコマンドバスへコマンドを中継でき、/script/runと/seqはスクリプトやコマンドシーケンスを実行できます。さらに後者の2つのエンドポイントは、ユーザーが制御可能な入力から十分な制限なしにファイルシステムパスを構築するため、想定外のディレクトリにあるファイルを実行対象として渡すことが可能になっています。

これらの組み合わせが重大なのは、これらのウェブ機能が操作コンソールとコマンド基盤の間に位置しているためです。外部に露出した運用技術(OT)環境におけるセキュリティ上の弱点は、同様に基本的なアクセス制御の不備を、重大な影響を及ぼす機能への侵入経路に変えてしまう可能性があります。

この攻撃は、必ずしもAIT-GUIサーバーへの直接的なネットワークアクセスを必要としません。状態を変更するルートはCSRF対策がないままブラウザ互換のフォーム送信を受け付けてしまうため、オペレーターが閲覧した悪意あるウェブサイトから、このサービスへリクエストを送信できてしまいます。

Cycodeによれば、ホストローカルまたはファイアウォールで保護された環境にデプロイされていても、オペレーターがそのブラウザ経由で標的にされうることを実証したとしています。クロスオリジンのリクエストはCORSプリフライトを経ずに送信されました。

同プロジェクトは、状態を変更するエンドポイントへの認証・認可の実装、CSRF対策、サーバーを設定されたホストにバインドすること、そして該当ルートにおけるパスの制限を推奨しています。

Infosecurity Magazineは、NASA/JPLにコメントを求めて連絡を取っており、回答があり次第この記事を更新する予定です。