CVE-2026-71214
KrytyczneCVSS 9.8Streszczenie
Serwer sekwencjonowania Aerie/PlanDev ma podatność w oprogramowaniu pośredniczącym autoryzacji (sequencing-server/src/app.ts), które wyprowadza rolę sesji Hasura z obiektu session_variables dostarczonego bezpośrednio w treści żądania JSON, preferując go nad roszczeniami JWT z nagłówka Authorization, bez weryfikacji, czy żądanie faktycznie pochodzi z Hasura. Ustawiając {"session_variables":{"x-hasura-role":"aerie_admin"}} w treści żądania do POST /command-expansion/put-expansion bez nagłówka Authorization, nieuwierzytelniony atakujący spełnia kontrolę roli i może wstawić dowolne reguły rozszerzenia do sequencing.expansion_rule, które sterują tłumaczeniem aktywności statku kosmicznego na polecenia. Dodatkowo, POST /put-dictionary jest jawnie wymieniony w ENDPOINTS_WHITELIST i jest zwolniony z jakiegokolwiek uwierzytelniania, umożliwiając nieuwierzytelnione zapisy słowników poleceń.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać uprawnienia administratora i modyfikować krytyczne reguły tłumaczenia poleceń, co może prowadzić do nieautoryzowanych operacji na statku kosmicznym lub systemie.
Rekomendacja
Należy natychmiast zastosować poprawki, które wymuszają weryfikację pochodzenia żądań z Hasura oraz usunąć nieuwierzytelnione punkty końcowe z białej listy.
Oryginalny opis (angielski, źródło NVD)
The Aerie/PlanDev sequencing-server's authorization middleware (sequencing-server/src/app.ts) derives the caller's Hasura session role via getHasuraSession(), which prefers a session_variables object taken directly from the client-supplied JSON request body over the Authorization header's JWT claims, with no verification that the request actually originated from Hasura. By setting {"session_variables":{"x-hasura-role":"aerie_admin"}} in the body of a request to POST /command-expansion/put-expansion with no Authorization header, an unauthenticated attacker satisfies the role check and can insert arbitrary expansion rules into sequencing.expansion_rule, which govern how spacecraft activities are translated into commands. Separately, POST /put-dictionary is explicitly listed in the ENDPOINTS_WHITELIST and is exempt from any authentication, allowing unauthenticated writes of command dictionaries.