LONDON (IT BOLTWISE) – Eine Sicherheitsanalyse zu AIT-GUI zeigt, dass der browserbasierte Operator-Console-Server ohne ausreichende Authentifizierung Zustandsänderungen über das Kommando- und Skript-Bus-Interface ausführen kann. Betroffen sind laut Beschreibung AIT-GUI-Versionen bis einschließlich 2.5.1, die Schwachstellen wurden in 2.5.2 adressiert. Der Befallspunkt liegt weniger in manipulierten Webseiten, sondern in direkt ausgelösten Instrument- und Raumfahrzeugbefehlen. Entscheidend ist zudem: Cross-Origin-Requests konnten den Server ohne vorab gesendete OPTIONS-Anfrage erreichen, wenn ein Operator den Ursprung geladen hatte.
AIT-GUI ist die Bedienoberfläche für einen Teil der NASA-/JPL-Toolchain rund um das AMMOS Instrument Toolkit: Die Software nimmt Operator-Kommandos entgegen, übersetzt sie in Aufträge für einen Command Bus und verarbeitet anschließend die Telemetrie von Raumfahrzeug- und Instrumentenseite. Genau an dieser Schnittstelle setzt die jetzt veröffentlichte Schwachstellenkette an. Laut Cycode können Angreifer ohne Authentifizierung beliebige POST-Anfragen nutzen, um serverseitig Instrument- und Raumfahrzeugbefehle anzustoßen. Der Kern ist dabei nicht nur, dass der Server irgendetwas „annimmt“, sondern dass er ohne wirksame Zugriffskontrolle die empfangenen Eingaben direkt in auszuführende Kommandosequenzen überführt.
Technisch wird es besonders kritisch durch die Kombination aus Netzwerk-Exposure und ungeschützten Zustandsänderungen. Der Webserver soll laut Advisory standardmäßig auf 0.0.0.0 und Port 8080 lauschen, obwohl ein konfiguriertes Host-Value ausgelesen wird. Damit hängt die Angriffsfläche nicht an einem „lokalen“ Bedienplatz, sondern an jeder erreichbaren Netzadresse, sofern Firewall-Regeln nicht ohnehin konsequent einschränken. Hinzu kommt: Zustandsändernde Routen werden ohne Authentifizierung, ohne Autorisierung und ohne CSRF-Schutz freigeschaltet. Für zwei Endpunkte beschreibt die Analyse außerdem, dass Dateipfade aus nicht validierten Eingaben konstruiert werden, klassifiziert als CWE-22; insgesamt werden die Probleme als CWE-306, CWE-352 und CWE-22 eingeordnet. Das öffnet nicht nur den Weg zu „beliebigem Input“, sondern potenziell auch zu Pfadmanipulation und Ausführung/Weiterverarbeitung außerhalb intendierter Verzeichnisse.
Die Auswirkungen lassen sich in der Beschreibung sehr konkret nachvollziehen: Über POST /cmd können Angreifer laut Bericht beliebige Instrument- und Raumfahrzeugkommandos auslösen, einschließlich serverseitiger Skript-Ausführung über POST /script/run. Auch die Umgehung von Verzeichniskontexten wird genannt, etwa als Path-Traversal-Fall, bei dem Dateien „außerhalb des beabsichtigten Verzeichnisses“ adressiert werden. Darüber hinaus erlaubt POST /seqapplication/x-www-form-urlencoded formatiert sind und Browser sie als CORS-“simple”-Requests behandeln. Das bedeutet in der Praxis: Ein cross-origin POST kann den Zielserver erreichen, ohne dass der Browser erst eine preflight-OPTIONS-Anfrage auslöst.
Genau dieser Browser-Mechanismus ist für Deployments in der Realität oft der unbequeme Teil. Wenn ein Operator Browserzugriff auf die Konsole hat, kann ein Angreifer laut Advisory in Reichweite dennoch Wirkung erzielen, selbst wenn der Service ansonsten nur im „lokalen“ Netz oder in einem „firewalled“ Setup erreichbar wäre. In der Beschreibung heißt es, dass aufgezeichnete Netzwerkverkehre mit einem echten Browser zeigen, dass cross-origin POSTs ohne Zero OPTIONS preflight Requests zugestellt werden und der Server die Anfrage verarbeitet. Gleichzeitig liefert der Kontext zur Freigabe von Versionen eine zweite Ebene: AIT-GUI 2.5.2 wurde am 12. August 2026 veröffentlicht; in den Release-Notizen wird erklärt, dass der Server nun konfigurationsgetreu die Host-Bindings verlässlich beachtet (statt pauschal hardcodet) und dass ein before_request-Hook Zustandsänderungen (POST/PUT/DELETE/PATCH) per Origin-/Referer-gegen-Host-Prüfung zurückweist. Die Aussage in den Changelog-Details: Nicht-Browser-Clients, die keine entsprechenden Header liefern, würden davon nicht automatisch betroffen, weil der CSRF-spezifische Schutz gezielt am Browser-Request-Pattern ansetzt.
Die Advisory trägt die Kennung GHSA-p9r8-2q67-fp86 und wird mit 9,4 (CVSS v3.1) bewertet. Für ein fixiertes Release nennt die Analyse 2.5.2 als Abhilfe, während Affected Releases bis 2.5.1 reichen. Auffällig ist jedoch die Divergenz zu einem weiteren Eintrag: Für CVE-2026-60112 wird ein CVSS v4-Wert von 9,3 genannt; dort steht laut Beschreibung eine fehlende Authentifizierung über Sessions.create() im Fokus, um gültige Sessions ohne Credential-Check zu erlangen. Die beiden Datensätze unterscheiden sich nach der Darstellung des Quelltexts in der Fix-Einordnung (einmal vor 2.5.1 mit Patchcommit beb8fc0, einmal 2.5.1 betroffen und 2.5.2 als Fix). Gleichzeitig wird betont, dass in den Repository-Snapshots der Punkt zur unauthentifizierten Session-Ausstellung in 2.5.1 und 2.5.2 weiterhin vorhanden ist. Damit entsteht ein Bild, in dem entweder unterschiedliche Teilprobleme getrennt bewertet wurden oder Fixes zwar die Browser- und Pfadanteile abfangen, aber nicht zwingend die Session-Erzeugung als solches eliminieren.
Für die Praxis in NASA-nahen Boden-Systemen ist das mehr als ein „CVE-Mysterium“: Die Werkzeugkette basiert auf einer Web-Komponente, die Operationen in reale Steuerpfade überführt. Bereits die Einordnung als GHSA/CWE-Kombination zeigt, dass mehrere Schutzschichten gleichzeitig fehlten (AuthN, AuthZ, CSRF sowie Eingabe-/Pfadsicherungen). Dass die konkrete Abwehr in 2.5.2 stark an browsertypische Header- und Request-Eigenschaften gekoppelt ist, bedeutet auch: Schutz funktioniert dort besonders gut, wo Browseranfragen kontrollierbar sind, etwa im interaktiven Bedienfall. Gleichzeitig bleibt der Angriffsmodus für nicht-browserbasierte Clients laut Darstellung unverändert, sofern kein separater Authentifizierungs- oder Autorisierungsmechanismus nachgezogen wird. Für Teams, die AIT-GUI einsetzen, heißt das in der Konsequenz: Ein Upgrade ist nötig, aber nicht allein ausreichend als „Sicherheitsgarantie“, solange man die reale Zugriffskontrolle auf dem Command Bus und die Netzwerksegmentierung nicht separat überprüft.
Über den konkreten Fall hinaus zeigt die Veröffentlichung, wie eng Fehlerklassen in der Bodeninfrastruktur miteinander verknüpft sind. Die Quelle verweist zusätzlich auf weitere, teils noch nicht abschließend geprüfte Einträge im Umfeld der AMMOS-Tooling-Landschaft, unter anderem Path-Traversal-Themen und kritische Schwachstellen in verwandten Komponenten der Sequenzierung bzw. Serverlogik. Auch ältere Einträge in Kernbibliotheken bleiben dabei im Hintergrund sichtbar. Für Engineering- und Security-Teams ist das ein Signal, die „GUI-to-Command“-Brücke wie einen Hochrisiko-Kanal zu behandeln: Eingaben müssen nicht nur für den UI-Fluss validiert werden, sondern schon bei der Übersetzung in Pfade, Subprozesse und Kommandobusse. Der Bericht erwähnt zudem, dass Regressionstests für den fixierten Bereich ergänzt wurden und dass die Prüfung mit KI-unterstützter Codeanalyse erfolgte; solche Muster sind zwar kein Garant für Vollständigkeit, helfen aber bei der schnellen Eingrenzung, welche Pfade im konkreten Release wirklich abgesichert sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NASA AIT-GUI: Unauthentifizierte Angreifer könnten Befehle für Raumfahrzeuge ausführen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NASA AIT-GUI: Unauthentifizierte Angreifer könnten Befehle für Raumfahrzeuge ausführen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NASA AIT-GUI: Unauthentifizierte Angreifer könnten Befehle für Raumfahrzeuge ausführen« bei Google Deutschland suchen, bei Bing oder Google News!