ex-cal1bur/CVE-2026-44596

# CVE-2026-44596 — YAMCS 认证端点无速率限制 ## 摘要 `yamcs-core` 中的认证端点 `POST /auth/token` 缺乏任何形式的速率限制、账户锁定或失败尝试限流机制。未经认证的远程攻击者可以对任何用户账户进行无限制的密码猜测尝试。 | 字段 | 值 | |-------|-------| | **CVE** | CVE-2026-44596 | | **严重程度** | MEDIUM (CVSS 5.3) | | **CWE** | CWE-307：对过多身份验证尝试的不当限制 | | **受影响版本** | yamcs-core < 5.12.7 | | **修复版本** | yamcs-core 5.12.7 | | **公告** | [GHSA-w5r6-mcgq-7pq4](https://github.com/yamcs/yamcs/security/advisories/GHSA-w5r6-mcgq-7pq4) | ## 漏洞详情 `POST /auth/token` 接受 `grant_type=password` 请求且没有任何限流机制。对于无效的凭证，该端点会无限期返回 HTTP 401 —— 而绝不会返回 HTTP 429 —— 从而允许以全网络速度进行自动化暴力破解。 ## 概念验证 ``` # 用法: ./poc.sh [target] [username] [attempts] chmod +x poc.sh ./poc.sh http://localhost:8090 operator 20 ``` 易受攻击实例上的预期输出： ``` Attempt 1: HTTP 401 Attempt 2: HTTP 401 ... Attempt 20: HTTP 401 [!!!] VULNERABLE: 20 attempts completed, no rate limiting ``` ## 影响 具有对 YAMCS 服务器网络访问权限的未经认证的攻击者可以无限制地暴力破解用户凭证，仅受网络带宽的限制。 YAMCS 在包括 ESA 的 OPS-SAT 和其他地面站部署在内的太空任务中用作任务控制软件。 ## 修复 升级至 `yamcs-core >= 5.12.7`。 ## 时间线 | 日期 | 事件 | |------|-------| | 2026-05 | 报告漏洞 | | 2026-05-27 | 在 yamcs-core 5.12.7 中发布修复 | | 2026-05-27 | 发布公开公告 | ## 研究员 **Daniel Miranda Barcelona (Excal1bur)** - GitHub: [https://github.com/ex-cal1bur](https://github.com/ex-cal1bur) - LinkedIn: [https://linkedin.com/in/daniel-miranda-barcelona](https://linkedin.com/in/daniel-miranda-barcelona) - 博客: [https://thedumpster.es](https://thedumpster.es)

标签：Cutter, PoC, 安全漏洞, 应用安全, 暴力破解, 漏洞报告, 红队行动, 航天任务控制