La NASA n'avait pas de verrou sur ses commandes

Ce que fait vraiment AIT-GUI

AIT-GUI est une variante fonctionnant dans le navigateur de l'AMMOS Instrument Toolkit de la NASA, une suite conçue pour aider les ingénieurs à tester, surveiller et commander des sondes spatiales et des instruments scientifiques depuis le sol. Les opérateurs s'en servent pour envoyer de vraies commandes à du matériel réel, depuis un onglet de navigateur, jusqu'au matériel de vol et, dans certains déploiements, jusqu'à la sonde elle-même via la liaison de la station sol de la mission.

C'est ce détail qui compte vraiment: ce n'est pas un tableau de bord qui se contente d'afficher de la télémétrie. C'est un canal de commande, une interface de navigateur conçue pour qu'une personne dans une station sol déclenche une instruction qu'une sonde ou un instrument exécute réellement, et c'est justement pour un outil de ce genre que la question de savoir qui d'autre peut l'atteindre a besoin d'une réponse vérifiée, pas d'une supposition.

Ce qui manquait réellement

Les versions d'AIT-GUI jusqu'à la 2.5.1 incluse liaient leur écouteur réseau à 0.0.0.0, l'adresse qui accepte les connexions entrantes sur toutes les interfaces réseau d'une machine, quelle que soit la configuration définie par l'opérateur. En plus de cette liaison, les versions concernées n'avaient ni authentification ni protection CSRF sur les routes qui modifient réellement l'état, c'est-à-dire celles qui déclenchent des commandes plutôt que de simplement afficher des données.

La conséquence découle directement de ces deux manques combinés. Une page malveillante visitée par un opérateur sur le même réseau, ou une requête envoyée par tout attaquant capable d'atteindre ce port à l'écoute via ce réseau, pouvait envoyer des commandes directement au matériel de la sonde ou de l'instrument connecté, sans mot de passe, jeton ni vérification de session pour l'arrêter. La vulnérabilité est identifiée sous GHSA-p9r8-2q67-fp86 et porte un score CVSS de 9.4 sur 10, qui reflète exactement cette combinaison d'accessibilité réseau, d'absence d'authentification et de conséquence directe sur le matériel.

Qui d'autre utilise un logiciel de ce genre

La mauvaise configuration précise d'AIT-GUI, un écouteur réseau lié à toutes les interfaces combiné à une absence d'authentification sur les routes qui modifient l'état, n'est pas un défaut propre au logiciel spatial. Le même schéma, un écouteur qui ignore sa propre configuration et se lie partout, associé à des routes qui modifient l'état et que personne n'a sécurisées, apparaît dans les outils de contrôle industriel, les logiciels d'instruments de laboratoire et d'autres systèmes de station sol conçus pour un cercle restreint et de confiance d'opérateurs, pas pour un produit exposé à internet.

Ce qui rend le cas d'AIT-GUI spectaculaire n'est pas le mécanisme, mais l'objet à l'autre bout. La plupart des outils construits ainsi, ceux conçus pour un seul laboratoire, une seule salle de contrôle ou une seule station sol, supposent que le réseau environnant est déjà de confiance et font l'impasse sur le travail d'authentification qu'un produit exposé à internet ne livrerait jamais sans. La NASA et le JPL ont construit AIT-GUI exactement sur cette hypothèse et l'ont publié en open source, ce qui a rendu la faille accessible et vérifiable par quiconque téléchargeait le code, mais la question de fond, combien d'autres outils dans les réseaux industriels et gouvernementaux se lient de la même façon et ne vérifient personne à la porte, ce seul correctif n'y répond pas.

Ce que change la version 2.5.2

La NASA et le Jet Propulsion Laboratory ont publié la version 2.5.2 d'AIT-GUI le 12 août 2026, refermant les deux défauts qui rendaient la faille exploitable: l'écouteur respecte désormais la liaison configurée au lieu de se lier par défaut à toutes les interfaces, et les routes qui modifient l'état portent désormais authentification et protection CSRF. La divulgation publique de la faille est intervenue entre le 18 et le 20 août 2026, laissant aux opérateurs une fenêtre pour se mettre à jour avant que les détails techniques ne circulent largement.

Mettre à jour AIT-GUI referme exactement ce trou, mais le travail le plus difficile pour tout opérateur de station sol ou d'outils industriels est l'audit que le correctif ne fait pas à sa place: vérifier quoi d'autre sur ce réseau se lie par défaut à toutes les interfaces, quoi d'autre suppose un réseau de confiance et fait l'impasse sur l'authentification, et quoi d'autre pourrait transformer une page visitée en commande envoyée à du matériel réel. Cet audit, pas ce seul correctif, est la vraie réponse à ce que décrit l'incident de la NASA.

À lire ensuite: Un automate allemand devient une cible cyber active  |  Le sursis NIS2 de l'Allemagne a pris fin