Im Maschinenraum der Raumfahrt gibt es diese Sorte Geräusch, die nicht knallt. Sie macht eher klack, dann steht ein Ventilator still, und irgendwo schaut ein Wartungsformular so, als wäre es schon immer unschuldig gewesen.
Genau so liest sich die neue CISA-Meldung zur NASA Core Flight System Health & Safety Application: Nicht der große Film mit Funkenregen und dramatischer Musik, sondern eine routinemäßige Housekeeping-Telemetry-Anfrage, die an der falschen Stelle in den Code greift. Der Blechkasten wollte nur wissen, ob alles noch lebt. Danach liegt die Health-&-Safety-Schublade selbst kurz daneben und behauptet, das sei bestimmt ein organisatorischer Vorgang.
Der Nullzeiger mit Schutzhelm
Der Faktenkern ist schmal genug, dass man ihn nicht aufblasen muss: CISA führt die Schwachstelle als CVE-2026-15352. Betroffen ist die Health-& Safety-Anwendung im NASA Core Flight System, kurz cFS. Laut Advisory kann die Anwendung beim Verarbeiten einer routinemäßigen Housekeeping-Telemetry-Anfrage per Segmentation Fault abstürzen. Ergebnis: Denial of Service. Also keine heimliche Datendieberei, kein Steuerknüppel aus dem Keller, sondern Verfügbarkeit, die auf dem Werkstattboden liegt und erst einmal wieder zusammengesucht werden möchte.
Die Schwere bewertet CISA mit CVSS 3.1 bei 7.5 und CVSS 4.0 bei 8.2. Das klingt trocken, aber es ist die Art Trockenheit, bei der man lieber kein Löschwasser auf die Schalttafel kippt. Der betroffene Versionsstand ist laut Meldung alles vor v7.0.1; als Abhilfe verweist die Advisory auf das Update auf v7.0.1 im NASA-Repository.
Hausmeister-Telemetrie ist auch Telemetrie
Die hübsche Gemeinheit daran: Ausgerechnet die Hausmeister-Frage, dieses „lebt noch alles?“, kann den Hausmeister ausknipsen. In der Blechpresse steht dafür jetzt ein kleiner Satelliten-Prüfstand mit Warnlampe. Links rutschen die Telemetrie-Dosen auf Rollen rein, rechts hängt ein leerer Zeiger über einem Loch, und der Flugrechner tut das, was Flugrechner bitte nicht als Hobby entwickeln sollten: dunkel werden.
CISA schreibt außerdem, dass der Behörde zum Zeitpunkt der Veröffentlichung keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstelle gemeldet wurde. Das ist gut. Es ist aber nicht dasselbe wie „egal“. In Steuerungs-, Missions- und Testumgebungen ist Verfügbarkeit nicht die Deko am Rand, sondern der Tisch, auf dem die Deko überhaupt steht.
Was der Werkstattzettel sagt
Wer cFS HS betreibt, sollte nicht warten, bis die Routineabfrage einmal vor Publikum stolpert. Updatepfad prüfen, v7.0.1 einplanen, Abhängigkeiten testen, Netzwerkexponierung klein halten. CISA empfiehlt wie üblich auch, Steuerungssysteme nicht direkt ins Internet zu stellen, Netze zu segmentieren und Remote-Zugänge nüchtern zu behandeln. Nüchtern heißt hier: ohne Heldencape, mit Firewall, VPN-Pflege und dem unangenehmen Mut, alte Annahmen einmal anzufassen.
Die Blechpresse notiert: Manchmal ist die gefährlichste Frage nicht „Wer greift an?“, sondern „Was passiert, wenn der eigene Kontrollblick ins Leere zeigt?“ Und dann hört man wieder dieses klack. Nicht laut. Nur endgültig genug.