セキュリティ研究者は、空港でのセキュリティ・スクリーニングを迂回し、航空機のコックピットにアクセスできる可能性のある脆弱性を、主要な航空輸送セキュリティ・システムに発見した。
研究者のイアン・キャロルと サム・カリーは、一部の航空会社がKCM（Known Crewmember）プログラムとCASS（Cockpit Access Security System）を管理するために使用しているサードパーティのウェブベースのサービスであるFlyCASSの脆弱性を発見した。KCMは運輸保安局（TSA）の取り組みで、パイロットと客室乗務員が保安検査を省略できるようにするもので、CASSは許可されたパイロットが旅行中にコックピットでジャンプシートを使用できるようにするものである。
ARINC（コリンズ・エアロスペースの子会社）が運営するKCMシステムは、オンライン・プラットフォームを通じて航空会社の従業員の資格を確認する。このプロセスでは、KCMバーコードをスキャンするか、従業員番号を入力し、航空会社のデータベースと照合することで、セキュリティ・スクリーニングを必要とせずにアクセスを許可する。同様にCASSシステムは、パイロットが通勤や出張の際にコックピットのジャンプシートに座れるかどうかを確認する。
研究者は、FlyCASSのログインシステムがSQLインジェクションの影響を受けやすいことを発見した。この欠陥を悪用することで、参加航空会社であるエア・トランスポート・インターナショナルの管理者としてログインし、システム内の従業員データを操作することができた。
彼らは架空の従業員 “TestOnly “を追加し、このアカウントにKCMとCASSへのアクセス権を与えた。
「SQLインジェクションの基本的な知識があれば、誰でもこのサイトにログインし、KCMとCASSに好きな人を追加することができた。
この問題の重大性を認識した研究者たちは、直ちに情報開示プロセスを開始し、2024年4月23日に国土安全保障省（DHS）に連絡した。研究者たちは、FlyCASSサイトは一人で運営されているようであり、情報公開が彼らを不安にさせることを恐れたため、直接連絡を取らないことにした。
DHSはこれに応じ、脆弱性の深刻さを認め、予防措置として2024年5月7日にFlyCASSがKCM/CASSシステムから切り離されたことを確認した。その後すぐに、FyCASSの脆弱性は修正された。
しかし、脆弱性の安全な公開をさらに調整しようとする努力は、DHSが電子メールに返信しなくなった後の抵抗にあった。
また、TSAのプレスオフィスは、システムの審査プロセスによって不正アクセスは防げるとして、脆弱性の影響を否定する声明を研究者に送った。研究者から報告を受けた後、TSAはその声明と矛盾する情報をウェブサイトからひっそりと削除した。
「私たちがこのことをTSAに伝えた後、TSAはウェブサイトの従業員IDを手動で入力することに言及した部分を削除し、私たちの訂正には応じませんでした。我々は、TSOが使用するインターフェイスが依然として従業員IDの手動入力を可能にしていることを確認した」とキャロルは述べた。
キャロルはまた、この欠陥によって、既存のKCM会員のプロフィールを変更し、新規会員の審査プロセスを迂回するなど、より広範なセキュリティ侵害が可能になった可能性があると述べた。
研究者のレポートが発表された後、Alesandro Ortizという別の研究者が、FlyCASSが2024年2月にMedusaLockerランサムウェア攻撃を受けたようであることを発見した。
4月、TSAは、航空会社の乗務員情報を含むサードパーティのデータベースの脆弱性が発見され、脆弱性のテストを通じて、データベース内の乗務員リストに未確認の名前が追加されたという報告を認識しました。TSAのR.カーター・ラングストン報道官は、「政府のデータやシステムが危険にさらされたことはなく、この行為に関連した輸送セキュリティへの影響もない」と述べた。
「TSAは乗務員の身元確認をこのデータベースだけに頼っているわけではない。TSAは乗組員の身元を確認する手順を備えており、空港では確認された乗組員のみが安全区域への立ち入りを許可される。TSAは関係者と協力し、確認されたサイバー上の脆弱性を軽減した。
本日未明、DHSにも問い合わせたが、広報担当者からのコメントは得られなかった。
Comments