นักวิจัยและ TSA (Transportation Security Administration) มีมุมมองที่แตกต่างกันเกี่ยวกับผลกระทบของช่องโหว่เหล่านี้ในแอปพลิเคชันรักษาความปลอดภัยของสนามบิน ช่องโหว่ที่ถูกกล่าวถึงนี้อาจทำให้ผู้โจมตีสามารถหลีกเลี่ยงการตรวจสอบความปลอดภัยบางระบบได้ ซึ่งก่อให้เกิดข้อกังวลในด้านความปลอดภัยของสนามบิน
ทั้ง CISA และ TSA ต่างออกมาพูดถึงช่องโหว่เหล่านี้ แต่ยังไม่มีความเห็นที่เป็นเอกฉันท์ว่า ช่องโหว่ดังกล่าวจะมีผลกระทบต่อความปลอดภัยของสนามบินมากน้อยเพียงใด
หน่วยงานด้านความมั่นคงไซเบอร์ของสหรัฐฯ (CISA) ได้ออกแถลงการณ์หลังจากการเปิดเผยช่องโหว่ที่เกี่ยวข้องกับระบบรักษาความปลอดภัยสนามบิน ซึ่งเป็นประเด็นที่ได้รับความสนใจอย่างมาก
ในช่วงปลายเดือนสิงหาคม 2024 นักวิจัย Ian Carroll และ Sam Curry ได้เปิดเผยรายละเอียดของช่องโหว่ประเภท SQL injection ซึ่งอาจทำให้ผู้โจมตีสามารถข้ามการตรวจสอบระบบรักษาความปลอดภัยบางระบบของสนามบินได้
ช่องโหว่นี้ถูกค้นพบใน FlyCASS ซึ่งเป็นบริการของบุคคลที่สามที่ใช้กับสายการบินที่เข้าร่วมในโปรแกรม Cockpit Access Security System (CASS) และ Known Crewmember (KCM) โดยโปรแกรม KCM นั้นช่วยให้เจ้าหน้าที่รักษาความปลอดภัยของ TSA (Transportation Security Administration) สามารถยืนยันตัวตนและสถานะการทำงานของลูกเรือ ซึ่งช่วยให้ลูกเรือเช่นนักบินและพนักงานต้อนรับบนเครื่องบินไม่ต้องผ่านการตรวจสอบความปลอดภัยเหมือนผู้โดยสารปกติ
CASS เป็นโปรแกรมที่ช่วยให้เจ้าหน้าที่ประจำประตูทางออกของสายการบินสามารถตรวจสอบได้ว่านักบินคนใดมีสิทธิ์ใช้งานที่นั่งเสริมในห้องนักบินหรือไม่ ซึ่งที่นั่งเสริมนี้เป็นที่นั่งที่นักบินที่ต้องเดินทางในฐานะผู้โดยสารสามารถใช้ได้
FlyCASS เป็นแอปพลิเคชันบนเว็บที่ใช้ในการจัดการระบบ CASS และ KCM สำหรับสายการบินขนาดเล็ก ซึ่งนักวิจัยได้ค้นพบช่องโหว่ SQL injection ใน FlyCASS และพบว่าช่องโหว่นี้ช่วยให้พวกเขาเข้าถึงบัญชีผู้ดูแลระบบของสายการบินที่เข้าร่วมโปรแกรมได้
นักวิจัยสามารถเพิ่มพนักงานใหม่ในฐานข้อมูลโดยไม่มีการตรวจสอบเพิ่มเติมใดๆ ซึ่งพวกเขาอธิบายว่า ผู้ที่มีความรู้พื้นฐานเกี่ยวกับ SQL injection สามารถเข้าสู่ระบบนี้และเพิ่มผู้ใช้งานใหม่เข้าในฐานข้อมูลของ KCM และ CASS ทำให้สามารถหลีกเลี่ยงการตรวจสอบความปลอดภัยและเข้าถึงห้องนักบินของเครื่องบินพาณิชย์ได้
หลังจากที่รายงานช่องโหว่นี้ไปยัง FAA, ARINC (ผู้ดำเนินการระบบ KCM) และ CISA ในเดือนเมษายน 2024 ระบบ FlyCASS ได้ถูกปิดใช้งานในโปรแกรม KCM และ CASS และช่องโหว่ดังกล่าวได้ถูกแก้ไขแล้ว
อย่างไรก็ตาม นักวิจัยไม่พอใจกับกระบวนการเปิดเผยข้อมูล โดยอ้างว่า CISA ตอบรับปัญหานี้ แต่ต่อมาไม่ตอบสนองใดๆ อีก นอกจากนี้ TSA ยังออกแถลงการณ์ที่ขัดแย้งกับการค้นพบของนักวิจัย
TSA ระบุว่าช่องโหว่ FlyCASS นั้นไม่สามารถถูกใช้เพื่อข้ามการตรวจสอบความปลอดภัยในสนามบินได้ง่ายตามที่นักวิจัยกล่าว โดยชี้แจงว่านี่ไม่ใช่ช่องโหว่ในระบบของ TSA และแอปพลิเคชันที่ได้รับผลกระทบไม่ได้เชื่อมต่อกับระบบของรัฐบาล
CISA ออกแถลงการณ์เพิ่มเติมว่าพวกเขากำลังทำงานร่วมกับนักวิจัย หน่วยงานรัฐบาล และผู้จัดจำหน่ายซอฟต์แวร์เพื่อเข้าใจช่องโหว่ในระบบ และยังไม่พบการโจมตีที่ใช้ช่องโหว่ดังกล่าว
Credit: Securityweek.com
