NASA cFS Ground System Deserialization RCE via Pickle

NASA cFS 7.0.0 任意代码执行漏洞摘要 漏洞概述 标题: NASA cFS 7.0.0 任意代码执行 (NASA cFS 7.0.0 Code Execution) 描述: 该漏洞属于反序列化漏洞。攻击者可通过修改 用户端的 Python pickle 负载（payload），在反序列化过程中利用 方法注入任意 Python 代码。 触发条件: 当操作员在 Ground System GUI 中打开对应的命令页面时，会触发并执行该代码。 攻击面: 恶意 pickle 负载仅需 62 个字节即可执行任意 OS 命令。序列化的数据（命令描述符、参数）完全由 Python 列表和字符串组成，不存在技术上的 pickle 限制。JSON 可作为无缝替换方案（drop-in replacement）。 影响范围 受影响组件: cFS Ground System (Python 后端) 具体文件: (第 68-69 行, 170-178 行) (第 71-72 行) 攻击者权限要求: 攻击者需能够修改 或 目录中的 pickle 文件。 修复方案 建议: 使用 JSON 格式替代 pickle 进行反序列化操作。 原因: 命令描述符文件应被反序列化为支持“安全格式（JSON）”的数据结构，该格式不支持任意代码执行。 预期行为: 任何 pickle 文件在加载前均不应跳过完整性验证。 POC/利用代码 页面中提供了“复现步骤（To Reproduce）”部分及具体的代码片段。 复现逻辑: 1. 使用 Python 的 构造调用 的恶意 pickle 负载。 2. 将其放置于 目录中。 3. 启动 Ground System 并加载该 pickle 文件。 4. 嵌入的命令将以操作员身份执行。 关键代码片段 (Code Snips): 以下代码来自 ，展示了存在漏洞的反序列化调用： (注：截图中第 71-72 行代码不完整，核心漏洞点在于上述 的使用)

目標達成 すべての支援者に感謝 — 100%達成しました！

NASA cFS Ground System Deserialization RCE via Pickle

目標達成すべての支援者に感謝 — 100%達成しました！