Une faille dans un logiciel de la NASA permettait le contrôle d’engins spatiaux.

Une chercheuse spécialisée en cybersécurité a mis en lumière une vulnérabilité alarmante dans un logiciel open source utilisé par la NASA pour le contrôle au sol de ses engins spatiaux. Cette faille permettrait à un hacker d’intervenir sur les systèmes de commande des vaisseaux, soulevant des inquiétudes quant à la sécurité des missions spatiales.

Le logiciel en question, dénommé AIT-GUI (AMMOS Instrument Toolkit Graphical User Interface), est un framework open source essentiel pour établir la communication avec les engins spatiaux et gérer les données envoyées et reçues. L’interface graphique Web d’AIT-GUI est utilisée par les opérateurs pour envoyer des commandes aux vaisseaux.

Yuval Elbar, la chercheuse à l’origine de cette découverte, a révélé que le problème réside dans le fait que l’interface était associée à un serveur qui ne nécessitait aucune authentification. Ce serveur était accessible via toutes les interfaces réseau, ce qui signifie qu’un pirate pouvait potentiellement prendre le contrôle du système simplement en accédant à une page Web ouverte par un opérateur.

En exploitant cette vulnérabilité, un individu malveillant aurait pu non seulement envoyer des commandes aux vaisseaux, mais également exécuter des scripts pour installer des logiciels malveillants. Dans le scénario le plus grave, cela aurait permis de prendre le contrôle total de l’engin spatial ciblé, et ce, sans même être connecté au même réseau. L’accès direct à un port exposé ou à tout site Web consulté par un opérateur constituerait une brèche significative.

Heureusement, cette faille a été corrigée après sa découverte. La version 2.5.2 d’AIT-GUI, disponible sur la page GitHub du projet, inclut le correctif ainsi que des précisions techniques sur les modifications apportées. Il est à noter qu’aucune mission spécifique n’a été mentionnée comme ayant subi une attaque, et aucune exploitation de la faille n’a été rapportée. Cependant, la vulnérabilité a été classée avec un score critique de 9,4 sur 10 sur l’échelle CVSS, sous l’identifiant GHSA-p9r8-2q67-fp86, soulignant ainsi la gravité de la situation.