NASA’nın Uzay Aracı Kontrol Yazılımında Kritik Açık: Şifre Olmadan Komut Gönderilebiliyordu
NASA ve Jet Propulsion Laboratory (JPL) tarafından geliştirilen açık kaynaklı AMMOS Instrument Toolkit bünyesindeki AIT-GUI yazılımında oldukça ciddi bir güvenlik açığı ortaya çıkarıldı. Siber güvenlik şirketi Cycode’un araştırmasına göre kontrol arayüzü, bazı kritik işlemlerde kimlik doğrulama ve yetkilendirme mekanizması olmadan komut kabul edebiliyordu.
CVSS sisteminde 9,4 ile “kritik” seviyede değerlendirilen güvenlik problemi, gerekli ağ erişimine sahip bir saldırganın AIT-GUI üzerinden komut göndermesine kadar uzanan ciddi sonuçlara yol açabiliyordu. Açık, AIT-GUI 2.5.2 sürümüyle giderildi.
Ancak önemli bir ayrıntının altını çizmek gerekiyor: Güvenlik araştırmasında açığın gerçek bir NASA görevinde istismar edildiğine veya saldırganların aktif bir uzay aracının kontrolünü ele geçirdiğine ilişkin herhangi bir kanıt bulunmuyor. Dolayısıyla olay, “bilgisayar korsanları NASA uydularını ele geçirdi” şeklinde yorumlanmamalı.
AIT-GUI nedir ve neden bu kadar önemli?
Sorunun merkezindeki AIT-GUI, NASA/JPL’nin açık kaynaklı AMMOS Instrument Toolkit ekosisteminde kullanılan web tabanlı operatör arayüzü.
AIT, yer sistemlerinin oluşturulmasında kullanılabilen bir yazılım altyapısı olarak uzay araçları ve bilimsel cihazlarla iletişim kurulması, komutların iletilmesi ve araçlardan gelen telemetri bilgilerinin işlenmesi gibi görevleri destekliyor. AIT-GUI ise operatörlerin bu altyapıyla tarayıcı üzerinden etkileşim kurmasını sağlıyor.
Başka bir ifadeyle burada sıradan bir internet sitesinin yönetim panelinden söz edilmiyor. Yazılımın kullanıldığı yapılandırmaya bağlı olarak verilen komutların cihaz ve uzay aracı komut sistemine aktarılabilmesi mümkün.
Bu nedenle normal bir web uygulamasında dahi oldukça ciddi kabul edilecek bir kimlik doğrulama hatasının, böyle bir yazılımda çok daha yüksek risk oluşturduğu belirtiliyor.
Kritik işlemler için kullanıcı adı veya şifre istenmiyordu
Cycode güvenlik araştırmacısı Yuval Elbar tarafından yapılan incelemede en dikkat çekici problem, AIT-GUI’nin durum değiştiren bazı uç noktalarında uygun bir kimlik doğrulama ve yetkilendirme mekanizmasının bulunmaması oldu.
Araştırmaya göre sistem üzerinden gerçekleştirilebilen kritik işlemler arasında;
/cmdaracılığıyla komut gönderilmesi,/script/runüzerinden sunucu tarafındaki scriptlerin çalıştırılması,/seqaracılığıyla komut dizilerinin başlatılması
gibi işlemler bulunuyordu.
Cycode, söz konusu yolların kullanıcı oturumu veya gerekli yetkilendirme kontrolü olmadan erişilebilir durumda olduğunu bildirdi. Ayrıca CSRF korumasının da bulunmadığı belirtildi.
Bu durum saldırgan açısından son derece kritik bir avantaj anlamına geliyor. Normal şartlarda saldırganın önce bir kullanıcının parolasını ele geçirmesi veya oturum açma sistemini aşması gerekirken, savunmasız yapılandırmada doğrudan ilgili servise ulaşabilmesi yeterli olabiliyordu.
Yazılım tüm ağ arayüzlerini dinliyordu
Problemin ciddi hale gelmesini sağlayan bir başka ayrıntı ise AIT-GUI sunucusunun ağ yapılandırmasıydı.
Cycode’un kod incelemesine göre yazılım içerisinde sunucunun hangi adres üzerinden çalışacağını belirlemek için bir yapılandırma değeri okunmasına rağmen bu değer uygulamada kullanılmıyordu. Bunun yerine sunucu 0.0.0.0 adresine sabit şekilde bağlanıyordu.
Bu kullanım, servisin yalnızca aynı bilgisayardan erişilebilir olması yerine cihazdaki kullanılabilir ağ arayüzleri üzerinden bağlantı kabul etmesine neden olabiliyor.
Örneğin bir yönetici sistemi yalnızca localhost üzerinden çalışacak şekilde yapılandırdığını düşünse bile yazılımdaki bu davranış nedeniyle servis erişilebilir ağ üzerinde açığa çıkabiliyordu.
Elbette bunun doğrudan “AIT-GUI internetteki herkes tarafından erişilebiliyordu” anlamına gelmediğini belirtmek gerekiyor. Güvenlik duvarları, ağ segmentasyonu ve kurumun kendi altyapı yapılandırması erişilebilirliği sınırlandırabilir. Buna rağmen uygulama seviyesindeki davranış, saldırı yüzeyini gereksiz şekilde büyütüyordu.
Zararlı bir internet sitesi bile komut göndermeyi deneyebilirdi
Araştırmanın belki de en dikkat çekici kısmı CSRF (Cross-Site Request Forgery) saldırısı ihtimali.
Cycode’a göre AIT-GUI’nin komut kabul eden uç noktalarında CSRF koruması bulunmuyordu ve kullanılan istek yapısı tarayıcıların farklı bir kaynaktan istek göndermesine olanak tanıyabiliyordu.
Böyle bir senaryoda saldırganın kontrol paneline internet üzerinden doğrudan ulaşması bile gerekmeyebilirdi.
AIT-GUI’ye erişimi bulunan bir operatör, aynı bilgisayardaki tarayıcı üzerinden saldırgan tarafından hazırlanmış zararlı bir web sitesini ziyaret ederse site arka planda kontrol servisine istek göndermeyi deneyebilirdi. Cycode araştırmacısı bu saldırı senaryosunu çalışan bir konsept kanıtıyla doğruladığını belirtiyor.
Bu durum özellikle yalnızca kurum içi ağda çalıştığı için güvenli kabul edilen servislerin neden yine de uygulama seviyesinde kimlik doğrulama ve CSRF korumasına ihtiyaç duyduğunu gösteriyor.
Açığın risk seviyesi 9,4 olarak belirlendi
Güvenlik problemi GHSA-p9r8-2q67-fp86 tanımlayıcısıyla takip ediliyor ve CVSS v3.1 sisteminde 9,4 puan alarak kritik kategorisine yerleştirilmiş durumda.
Araştırmaya göre sorun AIT-GUI 2.5.1 ve daha eski sürümleri etkiliyor. Güvenlik önlemlerinin bulunduğu düzeltmeler ise AIT-GUI 2.5.2 sürümüyle yayımlandı.
Cycode ayrıca yazılımı kullanan kuruluşların yalnızca güncelleme yapmakla yetinmemesini, AIT-GUI servisinin bulunduğu portun güvenilmeyen ağlardan erişilemediğini de kontrol etmesini öneriyor.
Gerçek NASA uzay araçları saldırıya uğradı mı?
Ortaya çıkan güvenlik açığının teknik sonuçları ciddi olsa da burada önemli bir ayrım yapmak gerekiyor.
Şu ana kadar yayımlanan araştırmalarda açığın saldırganlar tarafından aktif olarak kullanıldığına ilişkin herhangi bir bulgu paylaşılmadı. Benzer şekilde güvenlik açığı nedeniyle bir NASA uzay aracının, uydunun veya bilimsel görevin kontrolünün ele geçirildiğini gösteren herhangi bir kayıt bulunmuyor. Bağımsız haberlerde de güvenlik kaydının belirli bir aktif NASA görevini etkilediğinin belirtilmediğine dikkat çekiliyor.
Bu nedenle teorik olarak mümkün olabilecek sonuçlarla gerçekten gerçekleşmiş olayları birbirinden ayırmak gerekiyor.
AIT-GUI’nin komut sistemleriyle bağlantısı nedeniyle zafiyetin kullanıldığı uygun bir sistemde saldırganın yetkisiz komutlar gönderebilmesi ciddi sonuçlar yaratabilirdi. Ancak bunun “saldırgan herhangi bir NASA uydusunu internetten tek tıkla kontrol edebilirdi” anlamına geldiğine dair doğrulanmış bir veri bulunmuyor.
AIT-GUI 2.5.2 ile güvenlik önlemleri artırıldı
Cycode’un açıklamasına göre AIT-GUI 2.5.2 veya daha yeni bir sürüme yükseltilerek söz konusu güvenlik problemlerinden korunmak mümkün.
Düzeltmeler yalnızca giriş ekranı eklenmesinden ibaret değil. Araştırmacılar kalıcı çözüm için kritik işlemlerde kimlik doğrulama ve yetkilendirme uygulanmasını, CSRF saldırılarının engellenmesini, sunucunun yalnızca yapılandırmada belirlenen ağ arabirimini dinlemesini ve dosya yollarının güvenli şekilde sınırlandırılmasını öneriyor.
Olay, özellikle havacılık, uzay, endüstriyel otomasyon ve kritik altyapılarda kullanılan yazılımların klasik web uygulamalarındaki güvenlik sorunlarından muaf olmadığını bir kez daha gösteriyor.
Basit görünen bir “kimlik doğrulama eksikliği”, kontrol edilen sistem fiziksel donanıma komut gönderebildiğinde çok daha farklı bir risk seviyesine ulaşabiliyor.
NASA olayında yapay zekânın da dikkat çekici bir rolü var
Araştırmanın ilginç ayrıntılarından biri de güvenlik açığının bulunma yöntemi.
Cycode, potansiyel sorunların belirlenmesi sırasında yapay zekâ destekli kod analizinden yararlanıldığını, ancak tespit edilen bulguların güvenlik araştırmacısı tarafından manuel olarak incelenip gerçek saldırı senaryolarıyla doğrulandığını belirtiyor.
Bu yaklaşım, yapay zekânın yalnızca yazılım geliştirme tarafında değil, geniş kod tabanlarında potansiyel güvenlik açıklarının belirlenmesinde de giderek daha fazla kullanılabileceğine dair dikkat çekici bir örnek oluşturuyor.
NASA/JPL ekosistemindeki bir uzay yazılımında ortaya çıkan bu olayda herhangi bir gerçek saldırı rapor edilmemiş olsa da CVSS 9,4 seviyesindeki bir açığın komut verme kabiliyetine sahip bir sistemde bulunması, yazılım güvenliğinin uzay görevlerinin de temel parçalarından biri olduğunu açık biçimde ortaya koyuyor.
