Các nhà nghiên cứu phát hiện lỗ hổng SQL injection cho phép vượt qua kiểm tra an ninh TSA tại sân bay

Các nhà nghiên cứu bảo mật đã phát hiện lỗ hổng trong hệ thống an ninh hàng không quan trọng, cho phép những đối tượng không có thẩm quyền có thể vượt qua khâu kiểm tra an ninh tại sân bay và xâm nhập vào buồng lái máy bay.

Nhà nghiên cứu Ian Carroll và Sam Curry đã phát hiện ra lỗ hổng trong FlyCASS, một dịch vụ dựa trên web của bên thứ ba mà một số hãng hàng không sử dụng để quản lý chương trình Known Crewmember (KCM) và Cockpit Access Security System (CASS). KCM là sáng kiến ​​của Cục An ninh Vận tải (TSA) Mỹ cho phép phi công và tiếp viên hàng không bỏ qua khâu kiểm tra an ninh, và CASS cho phép phi công được ủy quyền sử dụng ghế phụ trong buồng lái khi di chuyển.

Hệ thống KCM xác minh thông tin xác thực của nhân viên hãng hàng không thông qua một nền tảng trực tuyến. Quy trình này bao gồm quét mã vạch KCM hoặc nhập số nhân viên, sau đó kiểm tra chéo với cơ sở dữ liệu của hãng hàng không để cấp quyền truy cập mà không cần kiểm tra an ninh. Tương tự như vậy, hệ thống CASS xác minh phi công để cấp quyền vào ghế phụ trong buồng lái cho họ.

Các nhà nghiên cứu phát hiện ra rằng hệ thống đăng nhập của FlyCASS dễ bị SQL injection. Bằng cách khai thác lỗ hổng này, kẻ tấn công có thể đăng nhập với tư cách là quản trị viên cho một hãng hàng không, và thay đổi dữ liệu nhân viên trong hệ thống.

Họ đã thêm một nhân viên không có thật, "Test TestOnly" và cấp cho tài khoản này quyền truy cập vào KCM và CASS, điều này cho phép họ "bỏ qua khâu kiểm tra an ninh và sau đó tiếp cận buồng lái của máy bay thương mại".

Nhận ra mức độ nghiêm trọng của vấn đề, các nhà nghiên cứu đã báo cáo ngay với Bộ An ninh Nội địa (DHS) vào ngày 23 tháng 4 năm 2024.

DHS đã phản hồi, thừa nhận mức độ nghiêm trọng của lỗ hổng và xác nhận rằng FlyCASS đã bị ngắt kết nối khỏi hệ thống KCM/CASS vào ngày 7 tháng 5 năm 2024 như một biện pháp phòng ngừa. Ngay sau đó, lỗ hổng đã được khắc phục trên FyCASS.

Carroll cho biết rằng lỗ hổng này có thể dẫn đến các vụ vi phạm bảo mật nghiêm trọng hơn, chẳng hạn như thay đổi hồ sơ thành viên KCM hiện tại để bỏ qua mọi quy trình kiểm tra đối với thành viên mới.

Sau khi báo cáo của các nhà nghiên cứu được công bố, một nhà nghiên cứu khác có tên Alesandro Ortiz đã phát hiện ra rằng FlyCASS dường như đã bị tấn công bằng phần mềm tống tiền MedusaLocker vào tháng 2 năm 2024.

​"Vào tháng 4, TSA được thông tin về một báo cáo cho biết một lỗ hổng trong cơ sở dữ liệu của bên thứ ba chứa thông tin phi hành đoàn hàng không đã được phát hiện và thông qua việc kiểm tra lỗ hổng, một người dùng chưa được xác minh đã được thêm vào danh sách các thành viên phi hành đoàn trong cơ sở dữ liệu. Không có dữ liệu hoặc hệ thống nào của chính phủ bị xâm phạm và không có tác động nào đến an ninh vận tải liên quan đến các hoạt động này", R.Carter Langston - thư ký báo chí của TSA cho biết.

"TSA không chỉ dựa vào cơ sở dữ liệu này để xác minh danh tính của các thành viên phi hành đoàn. TSA có các quy trình để xác minh danh tính của các thành viên phi hành đoàn và chỉ những thành viên phi hành đoàn đã được xác minh mới được phép vào khu vực an ninh tại sân bay. TSA đã làm việc với các bên liên quan để giảm thiểu mọi lỗ hổng an ninh mạng đã xác định."

Nguồn: bleepingcomputer.com