事件概述
NASA-AMMOS（先进多任务运行系统）维护的开源地面数据系统（GDS）工具包 AIT-Core 被披露一个严重漏洞，编号 CVE-2026-105105，对应 CWE-306（关键功能缺少认证），CVSS 3.1 评分 9.8。受影响版本为 AIT-Core 3.1.1 及更早版本，修复版本为 3.1.2。
AIT-Core 被任务团队与地面系统集成商用于构建航天器与仪器操作的指令控制软件，因此该漏洞是少见的”可直接触及航天指令链路”的高危缺陷。
技术细节
漏洞位于 ait.core.server 的遥测与指令代理组件 ait-server。该组件使用 ZeroMQ 消息总线在地面系统各部件之间传递指令与遥测数据。在出厂默认配置下，相关套接字绑定到所有网络接口，而非仅回环地址，且未启用任何认证或传输层安全。
TCP 5559 (XSUB / 发布侧)：可达即可向内部主题发布消息，含 __commands__ 指令主题
默认配置下指令经 command_stream 转发，并最终经 command-uplink UDP 路径发出
TCP 5560 (XPUB / 订阅侧)：可达即可订阅地面总线，读取实时指令与遥测流量换言之，只要攻击者能够路由数据包到 5559/5560 端口，即可像可信地面系统组件一样读写航天指令与遥测总线。AIT-Core 3.1.2 将默认 ZeroMQ 绑定地址改为回环地址，从默认配置层面消除未认证的网络暴露。
影响评估
该漏洞的后果覆盖四个方向：指令注入（在上行链路伪造航天器/仪器指令数据）、遥测外泄（被动读取全部经代理的指令与遥测流量）、遥测伪造（向下游仪表盘、自动化与决策系统投喂伪造数据）、可用性破坏（泛洪或中断总线，阻断合法指令与遥测）。对实时任务地面系统而言，成功利用可能影响航天器或仪器的指令完整性。
需要强调的是，暴露前提是网络可达。严格气隙隔离或限制在独立运行网内的飞行地面系统，实际攻击面较小，但仍应按纵深防御原则修补。
修复建议
- 立即升级至 AIT-Core 3.1.2 或更高版本（
python -m pip install --upgrade "ait-core==3.1.2"）。 - 无法立即升级时，用主机防火墙、安全组或网络 ACL 将 TCP 5559 与 5560 限制为仅可信地面网段可访问。
- 清点资产：检索 Python 虚拟环境、容器镜像、部署清单与 systemd 服务定义中的 AIT-Core / ait-server。
- 确认代理实际的绑定地址，核对是否被部署覆盖配置重新绑定到非回环地址。
- 对指向 5559/5560 的连接日志做审计，关注非预期来源；在验证前，将任何可达的指令代理视为潜在事件处理。
- 为指令与遥测通道增加网络分段，远程管理一律经跳板机或堡垒机。