Sicherheitslücke ermöglicht Umgehung der Flughafensicherheit durch SQL-Injection

Am 29. August 2024 berichteten die Sicherheitsforscher Ian Carroll und Sam Curry eine schwerwiegende Sicherheitslücke in der FlyCASS-Plattform, die es ermöglicht, die Flughafensicherheitskontrollen über SQL-Injection zu umgehen. FlyCASS, das von kleinen Fluggesellschaften für die Verwaltung von Sicherheitszugängen wie Known Crewmember (KCM) und Cockpit Access Security System (CASS) verwendet wird, ermöglichte Angreifern durch manipulierte SQL-Abfragen den Zugang als Administratoren.

Durch die Ausnutzung dieser Schwachstelle konnten Angreifer gefälschte Benutzerkonten hinzufügen und sich selbst oder andere als Flugpersonal registrieren, wodurch sie ohne Sicherheitskontrollen Zugang zu Flughäfen und Flugzeug-Cockpits erhalten konnten.

Die Entdecker, Ian Carroll und Sam Curry, meldeten den Vorfall sofort an das Department of Homeland Security (DHS), welches die Schwachstelle bestätigte und FlyCASS vorübergehend deaktivierte.