研究员利用SQL注入漏洞绕过机场的TSA安全审查

研究人员 Ian Carroll 和 Sam Curry 在基于web的第三方服务 FlyCASS 中发现了该漏洞。一些航线通过 FlyCASS 来管理“已知空勤 (KCM)”计划和“驾驶舱访问安全系统 (CASS)”。KCM是一项交通安全管理 (TSA) 计划，可使飞行员和乘客跳过安全审查，而CASS 可使授权飞行员在旅行时使用驾驶舱中的折叠椅。

KCM系统由 ARINC（柯林斯宇航的一个子公司）运营，负责通过一个在线平台验证航线员工的凭据。验证过程包括扫描KCM条形码或输入员工号码，之后交叉检查航线数据库，在无需进行安全审查的情况下授予访问权限。同样，CASS系统也会在飞行员通勤或旅行时验证驾驶舱折叠椅的访问权限。

研究人员发现，FlyCASS 登录系统易受SQL注入漏洞影响，可导致攻击者插入SQL语句进行恶意数据库查询。通过利用该漏洞，他们能够以参与航线 Air Transport International 管理员的身份登录并操纵系统中的员工数据。

攻击者增加了一个虚拟员工，名为 “Test TestOnly”，并将该账户权限授予KCM和CASS，从而导致他们能够“跳过安全审查，之后访问商业航线的驾驶舱”。

Carroll 表示，“任何拥有SQL注入基础知识的人员都能够登录到该站点，在KCM和CASS中新增任何人，从而跳过安全审查并访问商业航线的驾驶舱。”意识到问题的严重性后，他立即开始启动披露流程，在2024年4月23日联系美国国土安全部。研究人员决定不直接联系 FlyCASS 站点，因为该站点似乎由一名人员运营，披露可能引发恐慌。

美国国土安全部回应证实了该漏洞的严重性，并确认 FlyCASS 在2024年5月7日已与 KCM/CASS 系统断开连接，作为预防措施。不久后该漏洞在 FlyCASS上得到修复。

然而，因为国土安全部停止回复邮件，后续的漏洞安全披露协调工作遭遇不顺。TSA媒体办公室也向研究员发送声明否认了该漏洞的影响，声称该系统的审查流程可阻止越权访问。收到研究人员的通知后，TSA还从网站上悄悄删除了与其声明不一致的信息。

Carroll 表示，“我们通知TSA后，他们删除了网站上关于手动输入员工ID的内容，且并未回复我们的修正。我们已确认TSO 使用的界面仍然允许手动输入员工ID。”他还表示该漏洞本可导致规模更广泛的安全攻陷，如修改现有的 KCM 员工资料，绕过对新会员的任何审查流程。

研究人员发布报告后，另外一名研究员 Alesandro Ortiz 发现 FlyCASS 似乎已在2024年遭 MedusaLocker 勒索攻击，从Joe Sandbox 发布的分析文章来看还有加密文件和勒索信息。

TSA 新闻秘书 R.Carter Langston 表示，“四月份，TSA发现有报告称包含航线员工信息的第三方数据库中存在一个漏洞，通过漏洞测试后发现数据库的乘务员名单中被加入一个未经验证的姓名。政府数据或系统并未遭攻陷，并不存在与这些活动相关的交通安全影响。TSA并非完全依赖于该数据库来验证乘务员的身份。TSA部署流程来验证乘务员信息并只有通过验证的人员才能访问机场中的安全区域。TSA和利益相关者们缓解任何已发现的网络漏洞。”

目前，美国国土安全部并未就此事做出回应。