Zwei Sicherheitsforscher sagen, sie hätten eine Schwachstelle in den Anmeldesystemen entdeckt, die von der Transportation Security Administration (TSA) zur Kontrolle von Flugbesatzungsmitgliedern an Sicherheitskontrollpunkten am Flughafen verwendet werden. Der Fehler ermöglichte es jedem mit „Grundkenntnissen der SQL-Injection“, sich in die Personallisten der Fluggesellschaften einzutragen, was es ihm möglicherweise ermöglichte, die Sicherheitskontrollen zu passieren und das Cockpit eines Verkehrsflugzeugs zu betreten, schrieb der Forscher Ian Carroll in einem Blogbeitrag August.
Carroll und sein Partner Sam Curry entdeckten die Sicherheitslücke offenbar bei der Untersuchung der Drittanbieter-Website eines Anbieters namens FlyCASS, der kleinen Fluggesellschaften Zugriff auf das Known Crewmember (KCM)-System und das Cockpit Access Security System (CASS) der TSA bietet . Sie stellten fest, dass sie einen MySQL-Fehler erhielten, als sie ein einzelnes Apostroph in das Feld „Benutzername“ einfügten.
Das war ein sehr schlechtes Zeichen, denn es schien, als wäre der Benutzername direkt in die SQL-Anmeldeabfrage interpoliert worden. Tatsächlich hatten wir die SQL-Injection entdeckt und konnten das Problem mithilfe von sqlmap bestätigen. Mit Benutzername ‘ oder ‘1’=’1 und Passwort ‘) ODER MD5(‘1’)=MD5(‘1 konnten wir uns als Air Admin International Transportation bei FlyCASS anmelden!
Einmal drinnen, schreibt Carroll, hinderte sie „keine zusätzliche Verifizierung oder Authentifizierung“ daran, Besatzungsakten und Fotos von einer Fluggesellschaft hinzuzufügen, die FlyCASS nutzte. Jeder, der diese Schwachstelle hätte ausnutzen können, hätte eine gefälschte Mitarbeiternummer vorlegen können, um eine KCM-Sicherheitskontrolle zu passieren, heißt es im Blog.
TSA-Pressesprecher R. Carter Langston dementierte die Berichte mit den Worten Computer piepst dass die Agentur „sich nicht ausschließlich auf diese Datenbank verlässt, um die Flugbesatzung zu authentifizieren, und dass „nur verifizierten Besatzungsmitgliedern der Zutritt zum Sicherheitsbereich von Flughäfen gestattet ist“.