CVE-2026-77602 in COSMOS
要約
〜によって VulDB • 2026年09月23日
OpenC3 COSMOSは、1つ以上の組み込みシステムへのコマンド送信およびデータ受信に必要な機能を提供します。5.1.0から7.3.0までのバージョンでは、認証済みで管理者ではないユーザーが targets_modified/ 配下にコンテンツを書き込むことができ、その後、意図されたコード実行権限階層以下の複数の構成パスによってそのコンテンツが実行されます。テーブル定義やコマンド・テレメトリ定義は ConfigParser、PacketConfig、GENERIC_READ_CONVERSION、または GENERIC_WRITE_CONVERSION を介して処理され、ERBレンダリングやRubyおよびPythonの評価が可能になります。また、openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb は require によってスイート手順ファイルを実行します。ストレージアップロード、画面保存、スクリプト作成によりオーバーレイにコンテンツを配置でき、テーブル処理のトリガー発生、cmd/tlmのリロード、またはスイート分析の実行時に、内部資格情報およびデータへのアクセス権限を持つ cmd-tlm-api、decomマイクロサービス、またはScript Runnerにおいてそのコンテンツが実行されます。この問題はバージョン7.3.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.