CVE-2026-72577
KrytyczneCVSS 9.8Streszczenie
Wiele podatności w NASA fprime-gds do wersji 3.4.3 pozwala nieuwierzytelnionemu zdalnemu atakującemu na osiągnięcie dowolnego wykonania kodu na hoście stacji naziemnej i wstrzykiwanie dowolnych poleceń do podłączonych statków kosmicznych. Aplikacja Flask nie stosuje uwierzytelniania do żadnego endpointu. Podatność na path traversal umożliwia odczyt i zapis dowolnych plików poza katalogiem uploadu. Twardo zakodowany klucz sekretny umożliwia fałszowanie sesji. Połączone podatności pozwalają na całkowitą kompromitację systemu danych naziemnych i statków kosmicznych.
Ocena ryzyka
Organizacja może stracić kontrolę nad systemem stacji naziemnej i misją kosmiczną, co może prowadzić do katastrofalnych skutków, w tym utraty danych, naruszenia bezpieczeństwa misji i potencjalnego przejęcia kontroli nad statkami kosmicznymi.
Rekomendacja
Należy natychmiast zaktualizować fprime-gds do wersji z poprawkami, wdrożyć uwierzytelnianie na wszystkich endpointach, usunąć twardo zakodowany klucz sekretny i zabezpieczyć ścieżki plików przed path traversal.
Oryginalny opis (angielski, źródło NVD)
Multiple vulnerabilities in NASA fprime-gds through 3.4.3 allow an unauthenticated remote attacker to achieve arbitrary code execution on the ground station host and inject arbitrary commands to connected spacecraft. The Flask application in src/fprime_gds/flask/app.py applies no authentication to any endpoint. A path traversal in src/fprime_gds/flask/updown.py allows reading and writing arbitrary files outside the upload directory. A hardcoded secret key (CWE-321) in the application enables session forgery. Chained together, these vulnerabilities allow complete compromise of the ground data system and any spacecraft under its control.