Kurzfassung
Im AMMOS Instrument Toolkit, kurz AIT, sind zwei kritische Schwachstellen bekannt geworden. CVE-2026-60112 betrifft die GUI-Komponente vor Version 2.5.1. CVE-2026-60113 steckt im Deep Space Network Interface vor Version 2.2.2. Beide Lücken drehen sich um fehlende Authentifizierung.
Das ist kein Komfortproblem. Wer die Systeme erreichbar hat, kann unter Umständen ohne gültige Zugangsdaten Sessions erzeugen, Kommandos absetzen oder DSN-Kommunikation beeinflussen. Für Umgebungen mit Raumfahrtbezug ist das ernst. Für klassische Unternehmensnetze ist der unmittelbare Bezug dagegen gering, sofern AIT dort überhaupt nicht eingesetzt wird.
Was ist passiert?
Die Schwachstelle CVE-2026-60112 erlaubt einem Angreifer im Netz, eine gültig wirkende Sitzung anzulegen, ohne sich zuvor anzumelden. Danach lassen sich Befehle an den AIT-Kommandobus weiterreichen. Die Lücke sitzt also genau an der Stelle, an der ein System prüfen müsste, ob der Absender überhaupt berechtigt ist.
CVE-2026-60113 betrifft die DSN-Schnittstelle von AIT. Dort sind mehrere API-Routen ohne Schutz erreichbar. Nach Angaben der Quelle kann ein Angreifer darüber DSN-Sitzungen starten oder stoppen, Telemetrie lesen und sogar Frames in aktive Verbindungen einschleusen. Das ist operativ brisant, weil es direkt in die Kommunikationskette eingreift.
Technische Details
Bei CVE-2026-60112 ruft der Angreifer die Funktion Sessions.create() auf. Genau dort fehlt die Prüfung auf gültige Anmeldedaten. Anschließend lässt sich handle_cmd() nutzen, um Befehle ohne weitere Hürde an den AIT-Command-Bus zu schicken. Die Trennung zwischen Sitzungserzeugung und Kommandofreigabe greift also nicht.
CVE-2026-60113 sitzt im Space Link Extension, kurz SLE, Interface Manager. Laut Quelle reichen direkte HTTP-Anfragen ohne Credentials aus, um sieben ungeschützte API-Routen zu erreichen. Darüber sind Start, Stopp, Telemetrieabruf und Frame-Injektion möglich. Die Angriffsfläche ist damit nicht theoretisch, sondern sehr konkret.
Beide Lücken sind mit „critical“ eingestuft. Ein CVSS-Wert wird in der gelieferten Quelle nicht genannt. Ob weitere Nebenwirkungen existieren oder ob nur genau diese Versionen betroffen sind, lässt die Quelle offen.
Wer ist betroffen?
Betroffen sind Installationen von AIT GUI vor 2.5.1 sowie das AIT Deep Space Network Interface vor 2.2.2. Wer diese Komponenten in Test-, Labor- oder Missionsumgebungen betreibt, sollte das sofort prüfen. In DACH-Umgebungen ist das vor allem für Forschung, Raumfahrtzulieferer und Betreiber mit NASA-nahen oder vergleichbaren Integrationen relevant.
Für die meisten klassischen Unternehmen dürfte die Relevanz gering sein, weil AIT dort kaum zum Standardinventar gehört. Anders sieht es aus, wenn AIT in eigenen Labors, Integrationsumgebungen oder in Projekten mit Raumfahrtbezug läuft. Dann ist die Schwachstelle nicht akademisch, sondern ein direkter Kontrollverlust.
Empfohlene Maßnahmen
Wer AIT einsetzt, sollte zuerst die Versionen prüfen und auf die genannten Fixstände aktualisieren. Für die GUI heißt das mindestens 2.5.1, für das DSN Interface mindestens 2.2.2. Wenn ein sofortiges Update nicht möglich ist, gehört die betroffene Oberfläche so schnell wie möglich aus dem Netz oder hinter restriktive Zugriffsregeln.
Praktisch heißt das: exponierte Dienste finden, Firewall-Regeln schärfen, unnötige HTTP-Zugriffe blockieren und Logdaten auf ungewöhnliche Session-Erzeugung oder DSN-Befehle prüfen. Wer Zugriff auf die Infrastruktur hat, sollte außerdem kontrollieren, ob Unbefugte bereits Sessions angelegt oder Frames injiziert haben. Bei solchen Systemen zählt nicht nur das Patchen, sondern auch die operative Prüfung auf Manipulation.
Einschätzung von CyberSecurity-News.de
Die Lage ist klar kritisch, aber nur in einem eng umrissenen Umfeld. Für allgemeine IT-Abteilungen in Deutschland, Österreich und der Schweiz ist das kaum ein Massenproblem. Für Betreiber von AIT in missionskritischen Netzen sieht es anders aus: Dort reicht eine fehlende Authentifizierung, um die Integrität der Kommunikation zu gefährden.
Unschön ist die dünne Informationslage. Die Quelle nennt die betroffenen Versionen und den Exploit-Pfad, aber keine CVSS-Werte und keine Details zu möglichen Workarounds. Gerade bei Systemen mit hohem Schutzbedarf wäre eine präzisere Herstellerkommunikation hilfreich gewesen. Wer AIT betreibt, sollte deshalb nicht auf weitere Einordnung warten, sondern die betroffenen Komponenten sofort behandeln.
Fazit
CVE-2026-60112 und CVE-2026-60113 sind klassische Beispiele dafür, wie teuer eine fehlende Authentifizierung werden kann. Ein Angreifer braucht hier offenbar keine ausgefeilte Umgehung, sondern nur Netzwerkkontakt zu den betroffenen Diensten. Das reicht bereits für Sessions, Kommandos und Eingriffe in DSN-Verbindungen.
Wer AIT im Einsatz hat, sollte jetzt Versionen prüfen, Systeme absichern und verdächtige Aktivität auswerten. Für alle anderen bleibt die Meldung fachlich interessant, aber nicht alltagsrelevant.
Quellenangabe
NVD-Eintrag zu CVE-2026-60112 und CVE-2026-60113 als weiterführende Quelle: https://nvd.nist.gov/vuln/detail/CVE-2026-60112
