CVE-2026-53984
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność w Ground Station (przed wersją 0.6.0) pozwala nieuwierzytelnionym atakującym na zniszczenie lub podmianę całej bazy danych SQLite poprzez wysłanie komendy full_restore do serwera Socket.IO na porcie 7000. Brak uwierzytelniania i polisa CORS typu wildcard umożliwiają zdalne wykonanie.
Ocena ryzyka
Atakujący może trwale usunąć wszystkie dane satelitarne, konfiguracje sprzętowe i harmonogramy obserwacji, a także wprowadzić fałszywe dane, co może doprowadzić do przekierowania stacji naziemnej na kontrolowane przez atakującego serwery.
Rekomendacja
Zaktualizuj Ground Station do wersji 0.6.0 lub nowszej. Wdróż uwierzytelnianie dla Socket.IO, ogranicz CORS i nie zezwalaj na nieautoryzowane operacje na bazie danych.
Inne podatności w Ground Station
Zobacz wszystkie- CVE-2026-53451Krytyczne
Ground Station przed wersją 0.4.13 zawiera podatność w nieuwierzytelnionym poleceniu Socket.IO save-waterfall-snapshot. Atakujący może kontrolować nazwę pliku (snapshotName), co pozwala na zapis plików poza katalogiem danych (path traversal). Możliwe jest zapisanie pliku YAML z konfiguracją logowania, który podczas restartu usługi wykonuje dowolny kod (RCE) z uprawnieniami usługi.
- CVE-2026-53452Średnie
Ground Station przed wersją 0.4.13 zawiera podatność polegającą na braku uwierzytelnienia w komendzie configure-sdr Socket.IO, która akceptuje recordingPath dla sigmf-playback SDR. Ścieżka jest przechowywana bez walidacji, a następnie otwierana bez ograniczeń, co pozwala na odczyt plików poza katalogiem nagrań. Eksploatacja wymaga, aby plik metadanych był czytelnym JSON i miał sąsiedni plik .sigmf-data, ale może ujawnić zawartość poza backend/data/recordings bez uwierzytelnienia.
- CVE-2026-53983Wysokie
Ground Station przed wersją 0.6.0 zawiera nieuwierzytelnioną podatność na blind SSRF w ścieżce konfiguracji orbital-source. Nieuwierzytelniony klient Socket.IO może połączyć się na porcie 7000, zapisać złośliwy URL w bazie danych i wyzwolić synchronizację orbitalną, co powoduje wysyłanie żądań HTTP do wybranych przez atakującego miejsc docelowych, w tym do metadanych chmury (169.254.169.254). Statusy HTTP i błędy są emitowane do klientów, co umożliwia interpretację odpowiedzi wewnętrznych usług.
- CVE-2026-53985Wysokie
Ground Station przed wersją 0.6.0 zawiera nieuwierzytelnioną podatność na odmowę usługi w serwerze Socket.IO w obsłudze zdarzenia service_control, która pozwala każdemu nieuwierzytelnionemu peerowi sieciowemu na wymuszenie zakończenia procesu ground-station poprzez wysłanie pojedynczego polecenia restart_service. Atakujący mogą połączyć się z serwerem Socket.IO na porcie 7000 bez poświadczeń z powodu wyłączonego egzekwowania uwierzytelniania i polityki CORS z wildcard, a następnie wyemitować zdarzenie service_control, aby zakończyć wszystkie aktywne sesje śledzenia satelitów, potoki nagrywania SDR, demodulatory, dekodery i kontrolery rotatorów, z możliwością wielokrotnego wyzwalania w środowiskach Docker, tworząc trwałą odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
Ground Station prior to 0.6.0 contains an unauthenticated database-destruction and arbitrary-data-injection vulnerability in the Socket.IO server's database_backup event handler that allows any unauthenticated network peer to wipe or replace the entire SQLite database by sending a single full_restore command with a caller-supplied SQL blob. Attackers can connect to the Socket.IO server on port 7000 without credentials due to disabled authentication enforcement and a wildcard CORS policy, then emit the database_backup event to drop every existing table and recreate the database from attacker-controlled CREATE TABLE and INSERT INTO statements executed via raw exec_driver_sql, permanently destroying all satellite records, orbital sources, hardware configurations, and observation schedules, or planting fabricated orbital-source URLs and observation entries that redirect the ground station to attacker-controlled servers on the next scheduled sync.