Autentifikācijas apiešana ar tukšiem akreditācijas datiem UgCS dronu vadības serverī

§ 01. Pārskats

UgCS ir SPH Engineering dronu vadības programmatūra, ko izmanto, lai plānotu un veiktu lidojumus un dotu komandas bezpilota gaisa kuģiem. Tās serveris atklāj HCI (host-computer integration) protokolu uz TCP porta 3334, lai cita programmatūra varētu pieslēgties un vadīt platformu – nolasīt stāvokli, dot komandas un augšupielādēt lidojuma maršrutus.

OffSeq atklāja, ka HCI pieslēgšanās apstrādātājs ļauj klientam autentificēties bez nevienas akreditācijas datu vienības. Ja lietotāju datubāzē ir tieši viens konts – kas ir noklusējums viena operatora instalācijai – pieslēgšanās pieprasījums ar tukšiem pieteikšanās un paroles laukiem tiek attiecināts uz šo vienīgo lietotāju, un sesija tiek pilnībā autentificēta. Tā kā klausītājs pēc noklusējuma piesaistās katrai saskarnei bez TLS, tas pārvērš lokālu ērtību par attālinātu autentifikācijas apiešanu, ko var izmantot jebkurš resursdators tīklā. Tā tiek uzskaitīta kā CVE-2026-59104, koordinē CERT.LV.

§ 02. Tukši akreditācijas dati kā pieteikšanās

HCI LoginHandler pieņem LoginRequest, kas satur klienta identifikatoru, lietotāja pieteikšanos un lietotāja paroli. Ja pieteikšanās un paroles lauki nav norādīti, apstrādātājs pieprasījumu nenoraida kā nederīgu. Tā vietā, ja lietotāju datubāzē ir tieši viens lietotājs, tas tukšos akreditācijas datus attiecina uz šo vienīgo kontu un atgriež LoginResponse pilnībā autentificētai sesijai.

Šī sesija nav samazināta vai tikai lasīšanai. Tai ir attiecinātā operatora privilēģijas, tāpēc no tās klients var izpildīt platformas privileģētās komandas – tostarp tās, kas dod komandas pieslēgtiem droniem un augšupielādē vai maina lidojuma maršrutus.

§ 03. Cēlonis: lokāla ērtība, kas atklāta tīklā

Šī uzvedība ir ērtības ceļš. Lokālā, viena operatora mašīnā ļaut operatoram pieslēgties, neievadot akreditācijas datus atkārtoti, ir lietojamības izvēle, un "vienīgais lietotājs" ir nepārprotams mērķis. Defekts ir tas, ka tas pats pakalpojums pēc noklusējuma ir atklāts tīklā: tas piesaistās 0.0.0.0 – katrai saskarnei – un darbojas bez TLS. Pieņēmums, ka vienīgais klients ir lokālais operators, vairs nav spēkā, tiklīdz portu var sasniegt no citiem resursdatoriem, un ērtība kļūst par neautentificētu apiešanu. Tāpēc tā tiek klasificēta kā nepareiza autentifikācija (CWE-287) caur autentifikācijas apiešanas primāro vājumu (CWE-305), nevis kā akreditācijas datu stipruma problēma: akreditācijas dati vispār nav iesaistīti.

§ 04. HCI datu formāts

Atklājums tika apstiprināts, runājot HCI protokolā tieši. Katrs ziņojums ir 16 baitu big-endian galvene, kam seko protobuf ķermenis:

Būtiskie ziņojumu tipi ir LoginRequest (22), LoginResponse (23), AuthorizeHciRequest (20) un Error (0). LoginRequest satur clientId (lauks 1), userLogin (lauks 2) un userPassword (lauks 3). Protobuf neserializē neesošus laukus, tāpēc pieprasījums, kas vienkārši izlaiž userLogin un userPassword, sasniedz apstrādātāju ar šiem laukiem tukšiem – un pret viena lietotāja datubāzi tiek atbildēts ar LoginResponse, nevis Error.

Visa testēšana tika veikta kontrolētā vidē pret sistēmām, ko kontrolē OffSeq; neviena trešās puses sistēma netika skarta.

§ 05. Ietekme un nopietnība

Publicētās metrikas ir CVSS 3.1 bāzes 9.8 (kritisks) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) un CVSS 4.0 bāzes 9.3 (kritisks) (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N). Vektors ir tīklā sasniedzams, ar zemu sarežģītību, bez privilēģijām un bez lietotāja mijiedarbības: noklusējuma viena operatora instalācija ir ievainojamais stāvoklis, noklusējuma piesaiste ir 0.0.0.0 bez TLS, un nav vajadzīgi nekādi akreditācijas dati. Veiksmīga pieteikšanās piešķir pilnu privileģētu kontroli pār sesiju – stāvokļa nolasīšanu, komandu izpildi un lidojuma maršrutu augšupielādi vai mainīšanu – katra no konfidencialitātes, integritātes un pieejamības novērtēta kā augsta.

§ 06. Novēršana

SPH Engineering problēmu novērsa UgCS 6.2: tukši akreditācijas dati vairs netiek pieņemti kā derīga pieteikšanās. Operatoriem jāatjauninās uz UgCS 6.2 vai jaunāku.

Izvietojumiem, kas nevar atjaunināties nekavējoties, samaziniet atklātību pakāpeniski: piesaistiet HCI klausītāju pie 127.0.0.1, nevis katras saskarnes, ierobežojiet TCP portu 3334 ar resursdatora un tīkla ugunsmūra noteikumiem, lai pakalpojumu var sasniegt tikai tie resursdatori, kuriem tas nepieciešams, un novietojiet to aiz autentificēta TLS transporta.

§ 07. Atklāšana un iznākums

Par ievainojamību tika ziņots CERT.LV, izmantojot Latvijas nacionālo koordinētās ievainojamību atklāšanas platformu, 2026. gada 30. jūnijā; tā tika izvērtēta un pārsūtīta ražotājam 6. jūlijā. Tā tika apstiprināta un CVE-2026-59104 rezervēts 2026. gada 6. augustā. Ražotājs ziņoja par pabeigtu labojumu 8. oktobrī un izlaida to UgCS versijā 6.2 2026. gada 9. oktobrī. Atklāšanu koordinē CERT.LV.

Atklājums tiek attiecināts uz Nilu Putniņu (OffSeq Cybersecurity).