Poważna luka w zabezpieczeniach odkryta na lotniskach

Znani badacze bezpieczeństwa Ian Carroll i Sam Curry odkryli poważne luki w systemie FlyCASS. Jest to internetowy system zarządzania wykorzystywany przez mniejsze linie lotnicze do zarządzania programem Known Crewmember (KCM) i Access Security System (CASS).

Program KCM pozwala upoważnionemu personelowi lotniczemu ominąć regularne kontrole bezpieczeństwa na lotniskach, podczas gdy CASS reguluje dostęp do kokpitu samolotu. Odkryta przez badaczy luka pozwala hakerom zalogować się jako administratorzy poprzez tak zwany atak SQL injection, w wyniku którego każda osoba może zostać dodana jako KCM lub zarejestrowana w CASS. W praktyce może to pozwolić nieupoważnionym osobom na ominięcie kontroli bezpieczeństwa, a nawet dostanie się do kokpitu samolotu. FlyCASS jest używany głównie przez amerykańskie linie lotnicze. Nie jest jasne, czy dotyczy to również europejskich linii lotniczych.

FlyCASS został wyłączony

Po dokonaniu niepokojącego odkrycia Carroll i Curry poinformowali Departament Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych (DHS). Miało to miejsce 24 kwietnia 2024 r., a dzień później Departament potwierdził, że szuka rozwiązania. FlyCASS został wyłączony 5 lipca 2024 r., co oznacza, że podatność utrzymywała się przez ponad dwa miesiące po powiadomieniu DHS.