306/67 (IT) ประจำวันอังคารที่ 3 กันยายน 2567
พบช่องโหว่ในระบบรักษาความปลอดภัยการขนส่งทางอากาศที่ทำให้บุคคลที่ไม่ได้รับอนุญาตสามรถเลี่ยงการตรวจสอบความปลอดภัยในสนามบินได้ โดยระบบ Known Crewmember (KCM) และ Cockpit Access Security System (CASS) เป็นสองระบบที่ให้สิทธิแก่พนักงานสายการบิน เช่น นักบินและพนักงานต้อนรับบนเครื่องบิน ให้สามารถข้ามขั้นตอนการตรวจสอบความปลอดภัยแบบปกติและเข้าถึงที่นั่งในห้องนักบินได้ โดยนักวิจัย Ian Carroll และ Sam Curry ได้ทำการศึกษาเกี่ยวกับกระบวนการยืนยันตัวตนในระบบ และพบว่ามีช่องโหว่สำคัญใน FlyCASS ซึ่งเป็นผู้ให้บริการระบบเว็บที่ใช้ในการเข้าถึง KCM และ CASS โดยพบว่าสามารถถูกโจมตีแบบ SQL injection ในระบบล็อกอินได้ ซึ่งทำให้นักวิจัยสามารถเข้าถึงบัญชีของ Air Transport International ในฐานะผู้ดูแลระบบได้ ที่สามารถจัดการและเพิ่มรายชื่อนักบินและพนักงานต้อนรับบนเครื่องบินเข้าสู่รายการ KCM และ CASS โดยไม่ต้องมีการยืนยันตัวตนเพิ่มเติม
นักวิจัยได้แจ้งเตือนต่อ Department of Homeland Security (DHS) เมื่อวันที่ 23 เมษายน จากนั้นจึงปิดการใช้งาน FlyCASS ใน KCM/CASS เพื่อแก้ไขปัญหาดังกล่าว โดยการสื่อสารระหว่าง DHS และ Transportation Security Administration (TSA) กลับไม่ตรงกัน โดย TSA ได้ออกแถลงการณ์ที่ไม่ตรงกับข้อเท็จจริงและลดความสำคัญของปัญหานี้ โดยกล่าวว่าช่องโหว่นี้ไม่สามารถใช้เข้าถึงจุดตรวจ KCM ได้เนื่องจากมีการตรวจสอบก่อนที่จะออกบาร์โค้ด KCM แต่จริง ๆ แล้ว เจ้าหน้าที่ TSA สามารถป้อนหมายเลขประจำตัวพนักงานสายการบินได้ด้วยตนเอง โดยไม่จำเป็นต้องใช้บาร์โค้ด
นักวิจัยได้เปิดเผยข้อมูลสู่สาธารณะเพื่อป้องกันความเสี่ยงที่จะเกิดขึ้น และเตือนว่าแฮกเกอร์อาจใช้ช่องโหว่นี้ในการแก้ไขข้อมูลของสมาชิก KCM เพื่อหลีกเลี่ยงการตรวจสอบสำหรับสมาชิกใหม่ หรือเชื่อมโยงบาร์โค้ด KCM ที่ยังไม่ได้ลงทะเบียนกับหมายเลขประจำตัวพนักงานผ่านเว็บไซต์ KCM ซึ่งอาจก่อให้เกิดความเสี่ยงต่อความปลอดภัยของการขนส่งทางอากาศได้
แหล่งข่าว https://securityaffairs.com/167862/hacking/air-transport-security-systems-critical-flaw.html
