Пара исследователей в области безопасности заявили, что нашли уязвимость в системах входа, которые применяются Управлением транспортной безопасности США (TSA) для проверки членов экипажа авиакомпаний на контрольно-пропускных пунктах аэропортов. Данный баг позволял любому человеку с «базовыми знаниями SQL-инъекций» добавить себя в списки авиакомпаний, потенциально пропуская их через контроль и позволяя им попасть в кабину коммерческого самолёта, как написал исследователь Иан Кэрролл в блоге в августе.
Кэрролл и его напарник, Сэм Карри, обнаружили уязвимость, изучая сайт стороннего поставщика услуг FlyCASS, предоставляющего малым авиакомпаниям доступ к системам TSA, таким как Known Crewmember (KCM) и Cockpit Access Security System (CASS). Они выяснили, что при вводе простого апострофа в поле имени пользователя возникает ошибка MySQL.
«Это был очень плохой знак, так как казалось, что имя пользователя напрямую вставляется в запрос SQL для авторизации. Мы действительно обнаружили SQL-инъекцию и смогли подтвердить проблему с помощью sqlmap. Используя имя пользователя ‘ or ‘1’=’1 и пароль ‘) OR MD5(‘1’)=MD5(‘1, нам удалось войти в FlyCASS под администратором Air Transport International», — говорится в блоге.
Попав в систему, Кэрролл пишет, что не было никакой дальнейшей проверки или аутентификации, препятствующей добавлению записей членов экипажа и их фотографий для любой авиакомпании, использующей FlyCASS. Любой, кто мог бы воспользоваться этой уязвимостью, мог бы использовать фальшивый номер сотрудника, чтобы пройти через контрольную точку KCM, как говорится в блоге.
Пресс-секретарь TSA Р. Картер Лэнгстон опроверг это, заявив изданию Bleeping Computer, что агентство «не полагается исключительно на эту базу данных для аутентификации членов экипажа» и что «только проверенные члены экипажа допускаются в защищённую зону аэропортов».
Источник: TheVerge
