CVE-2025-28388

OpenC3 COSMOS — hardcoded credentials w koncie Service Account

CVSS 9.8v3.1pub. 2025-06-13upd. 2025-10-27

W OpenC3 COSMOS przed wersją 6.0.2 wykryto wbudowane na stałe w kod źródłowy dane uwierzytelniające (hardcoded credentials) dla konta Service Account. Podatność jest krytyczna, ponieważ umożliwia nieautoryzowany dostęp do systemu bez znajomości jakichkolwiek haseł ustawionych przez administratora.

▸ Pokaż oryginał (EN)

OpenC3 COSMOS before v6.0.2 was discovered to contain hardcoded credentials for the Service Account.

🤖 Analiza AI

Jak działa

Zgodnie z CWE-798, producent umieścił w kodzie aplikacji stałe, niezmienne dane logowania dla konta Service Account. Atakujący znający te osadzone w kodzie poświadczenia (np. po analizie publicznie dostępnego repozytorium) może użyć ich do uwierzytelnienia się w systemie. Ponieważ dane te są identyczne we wszystkich instalacjach danej wersji, exploit nie wymaga żadnej interakcji po stronie ofiary ani specjalnych uprawnień.

Skutki

Atakujący uzyskuje pełny, nieautoryzowany dostęp do systemu z uprawnieniami konta Service Account, co może prowadzić do ujawnienia danych misji kosmicznych, ich modyfikacji lub całkowitego zakłócenia działania platformy.

Mitygacja

Należy pilnie zaktualizować OpenC3 COSMOS do wersji 6.0.2 lub nowszej, w której problem został usunięty. Szczegóły poprawki dostępne są w referencjach producenta (GitHub pull request #1816 oraz release v6.0.2). Po aktualizacji zaleca się przegląd logów dostępu w celu wykrycia ewentualnego nieautoryzowanego użycia konta Service Account.

Kogo dotyczy

OpenC3 COSMOS we wszystkich wersjach przed 6.0.2

Uwagi

Podatność została zidentyfikowana i opisana w raporcie oceny bezpieczeństwa opublikowanym przez VisionSpace (visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/).