NASA: il software di comando non aveva serratura

Cosa fa davvero AIT-GUI

AIT-GUI è una variante basata su browser dell'AMMOS Instrument Toolkit della NASA, una suite creata per aiutare gli ingegneri a testare, monitorare e comandare sonde spaziali e strumenti scientifici da terra. Gli operatori la usano per inviare comandi reali a hardware reale, da una scheda del browser, fino all'hardware di volo e, in alcuni impieghi, alla sonda stessa attraverso il collegamento della stazione di terra della missione.

Questo è il dettaglio che conta davvero: non è un pannello che si limita a mostrare la telemetria. È un canale di comando, un'interfaccia da browser costruita perché una persona in una stazione di terra possa inviare un'istruzione che una sonda o uno strumento eseguono realmente, ed è proprio in uno strumento così che la domanda su chi altro possa raggiungerlo ha bisogno di una risposta verificata, non di un'ipotesi.

Cosa mancava davvero

Le versioni di AIT-GUI fino alla 2.5.1 inclusa collegavano il proprio listener di rete a 0.0.0.0, l'indirizzo che accetta connessioni in entrata su ogni interfaccia di rete di una macchina, indipendentemente dalla configurazione impostata dall'operatore. Oltre a questo collegamento, le versioni interessate non avevano autenticazione né protezione CSRF sulle rotte che cambiano realmente lo stato, cioè quelle che emettono comandi invece di limitarsi a mostrare dati.

La conseguenza deriva direttamente da queste due mancanze insieme. Una pagina malevola visitata da un operatore sulla stessa rete, o una richiesta inviata da qualunque aggressore in grado di raggiungere quella porta in ascolto tramite la rete, poteva inviare comandi direttamente all'hardware della sonda o dello strumento collegato, senza password, token o controllo di sessione a fermarla. La vulnerabilità è identificata come GHSA-p9r8-2q67-fp86 e ha un punteggio CVSS di 9.4 su 10, che riflette esattamente questa combinazione di raggiungibilità in rete, assenza di autenticazione e conseguenza diretta sull'hardware.

Chi altro usa software fatto così

La configurazione errata specifica di AIT-GUI, un listener di rete collegato a ogni interfaccia insieme all'assenza di autenticazione sulle rotte che cambiano stato, non è però un difetto esclusivo del software spaziale. Lo stesso schema, un listener che ignora la propria configurazione e si collega ovunque, insieme a rotte che cambiano stato e che nessuno ha protetto, compare in strumenti di controllo industriale, software per strumenti da laboratorio e altri sistemi da stazione di terra costruiti per una cerchia piccola e fidata di operatori, non per un prodotto esposto a internet.

Ciò che rende drammatico il caso di AIT-GUI non è il meccanismo, ma l'oggetto all'altro capo. La maggior parte degli strumenti costruiti così, quelli pensati per un solo laboratorio, una sola sala di controllo o una sola stazione di terra, presuppongono che la rete circostante sia già fidata e saltano il lavoro di autenticazione che un prodotto esposto a internet non rilascerebbe mai senza. NASA e JPL hanno costruito AIT-GUI proprio su questa ipotesi e lo hanno reso open source, il che ha reso la falla raggiungibile e verificabile da chiunque scaricasse il codice, ma la domanda di fondo, quanti altri strumenti nelle reti industriali e governative si colleghino allo stesso modo e non controllino chi bussa alla porta, non la risolve questa singola patch.

Cosa cambia con la versione 2.5.2

NASA e il Jet Propulsion Laboratory hanno rilasciato AIT-GUI versione 2.5.2 il 12 agosto 2026, chiudendo entrambi i difetti che rendevano sfruttabile la falla: il listener ora rispetta il collegamento configurato invece di collegarsi per impostazione predefinita a ogni interfaccia, e le rotte che cambiano stato portano ora autenticazione e protezione CSRF. La divulgazione pubblica della falla è arrivata tra il 18 e il 20 agosto 2026, dando agli operatori una finestra per aggiornare prima che i dettagli tecnici circolassero ampiamente.

Aggiornare AIT-GUI chiude esattamente questo buco, ma il lavoro più difficile e più delicato per chi gestisce strumenti da stazione di terra o industriali è la verifica che la patch non fa al posto loro: controllare cos'altro in quella rete si collega per impostazione predefinita a ogni interfaccia, cos'altro presuppone una rete fidata e salta l'autenticazione, e cos'altro potrebbe trasformare una pagina visitata in un comando inviato a hardware reale. Questa verifica, non questa singola patch, è la vera risposta a ciò che descrive l'incidente della NASA.

Da leggere ora: Un PLC tedesco è ora un bersaglio informatico attivo  |  La moratoria NIS2 tedesca è finita