// FRANDROID — SPAZIO & SCIENZA
Une faille dans un logiciel de la NASA permettait de prendre le contrôle d’engins spatiaux
Lors d’une retransmission en direct ou dans un film, vous avez probablement vu au moins une fois des images d’une salle de contrôle de la NASA. Avec ses dizaines d’employés tous équipés d’un casque avec micro, regardant leur écran pour détecter le moindre dysfonctionnement.
L’environnement technique semble totalement maîtrisé, sans que rien ne soit laissé au hasard. Et pourtant, il arrive que des bugs assez surréalistes surviennent. Voire, pire, qu’une faille critique soit découverte dans un logiciel utilisé par l’agence spatiale américaine. Par exemple celle que détaille la chercheuse en cybersécurité Yuval Elbar.
Le coupable s’appelle AIT-GUI, pour AMMOS Instrument Toolkit Graphical User Interface. Il s’agit ici d’une structure logicielle (framework) open source pour développer les programmes permettant de communiquer avec les engins spatiaux et leurs instruments. Ils envoient les commandes et traitent les données reçues en retour. AIT-GUI est l’interface graphique Web qu’un opérateur utilise pour le faire.
Le problème repéré par Elbar, c’est que cette interface « s’accompagnait d’un serveur qui écoutait sur toutes les interfaces réseau, ne demandait de mot de passe à personne et pouvait être piloté depuis n’importe quelle page Web ouverte par un opérateur. »
À lire aussi :
Attention aux faux climatiseurs « conçus par la NASA » : des ventilateurs vendus dix fois leur prix et surtout inefficaces
En exploitant cette faille, une personne mal intentionnée aurait pu accéder à AIT-GUI puis envoyer des commandes aux vaisseaux et lancer des scripts pour installer des logiciels malveillants, entre autres.
Dans le pire des cas, elle aurait pris le contrôle total de l’engin spatial visé. En sachant qu’il n’était même pas nécessaire d’être sur le même réseau pour y parvenir. Accéder directement à un port exposé ou à « tout site web qu’un opérateur consulte simplement dans un navigateur » constituait une porte d’entrée.
Si nous parlons au conditionnel et au passé, c’est parce que la faille a heureusement été corrigée suite à sa révélation. Sur la page GitHub d’AIT-GUI, la nouvelle version 2.5.2 d’AIT-GUI mentionne le correctif en question ainsi que ses détails techniques.
Rien n’indique toutefois qu’un vaisseau ait réellement été piraté : aucune mission n’est nommée et aucune exploitation de la faille n’a été constatée. La vulnérabilité a tout de même été notée 9,4 sur 10 sur l’échelle de gravité CVSS, soit un niveau critique, et référencée sous l’identifiant GHSA-p9r8-2q67-fp86.
Téléchargez notre application Android et iOS ! Vous pourrez y lire nos articles, dossiers, et regarder nos dernières vidéos YouTube.