CVE-2026-44596 — YAMCS 認証エンドポイントにレート制限がない

概要

yamcs-core の認証エンドポイント POST /auth/token には、レート制限、アカウントロックアウト、または失敗した試行のスロットリングが一切実装されていません。認証されていないリモートの攻撃者は、任意のユーザーアカウントに対して無制限にパスワード推測攻撃を行うことができます。

脆弱性の詳細

POST /auth/token は grant_type=password リクエストを、スロットリング機構なしで受け入れます。このエンドポイントは無効な認証情報に対して HTTP 401 を無制限に返し続け（HTTP 429 を返すことはありません）、ネットワークの全帯域幅での自動ブルートフォース攻撃を可能にします。

概念実証

# 使用方法: ./poc.sh [ターゲット] [ユーザー名] [試行回数]
chmod +x poc.sh
./poc.sh http://localhost:8090 operator 20

脆弱なインスタンスでの期待される出力:

Attempt 1:  HTTP 401
Attempt 2:  HTTP 401
...
Attempt 20: HTTP 401
[!!!] VULNERABLE: 20 attempts completed, no rate limiting

影響

YAMCS サーバーにネットワークアクセス可能な認証されていない攻撃者は、ネットワーク帯域幅によってのみ制限される形で、ユーザー認証情報に対して無制限にブルートフォース攻撃を行うことができます。

YAMCS は、ESA の OPS-SAT やその他の地上局展開を含む宇宙ミッションのミッション管制ソフトウェアとして使用されています。

修正方法

yamcs-core >= 5.12.7 にアップグレードしてください。

タイムライン

研究者

Daniel Miranda Barcelona (Excal1bur)

• GitHub: https://github.com/ex-cal1bur
• LinkedIn: https://linkedin.com/in/daniel-miranda-barcelona
• ブログ: https://thedumpster.es