Bypass de la seguridad aeroportuaria mediante inyección SQL

• Sam Curry y yo pasamos mucho tiempo en las filas de seguridad del aeropuerto
• Known Crewmember (KCM) es un programa de la TSA que permite a pilotos y tripulación omitir el control de seguridad
• El proceso de KCM es simple: el personal usa un carril dedicado y presenta un código de barras de KCM o su número de empleado
• Cockpit Access Security System (CASS) también es un sistema similar que permite a los pilotos usar el jumpseat

ARINC

• ARINC opera el sistema KCM bajo contrato con la TSA
• ARINC opera un sitio web y una API para que pilotos y tripulación puedan verificar su estado en KCM
• Cada aerolínea opera su propio sistema de autenticación e interactúa con el "hub" de ARINC
• La TSA y las aerolíneas envían CockpitAccessRequest y CrewVerificationRequest a ARINC, y ARINC los enruta al sistema correspondiente de cada aerolínea

FlyCASS.com

• FlyCASS ofrece una interfaz web para aerolíneas pequeñas
• Mediante pruebas de inyección SQL se descubrió una vulnerabilidad de seguridad en FlyCASS
• La inyección SQL permitía iniciar sesión como administrador de Air Transport International

Administradores de KCM y CASS

• FlyCASS opera KCM y CASS, y con privilegios de administrador se pueden agregar nuevos empleados
• Durante las pruebas se agregó un nuevo empleado, Test TestOnly, y se le otorgó acceso a KCM y CASS
• Esto reveló un problema grave: cualquiera podía acceder a KCM y CASS mediante inyección SQL

Divulgación

• Hubo dificultades para encontrar los contactos adecuados para reportar el problema
• El 23 de abril se reportó el problema al Departamento de Seguridad Nacional, y FlyCASS fue deshabilitado de KCM/CASS
• La TSA publicó un comunicado negando la vulnerabilidad
• La TSA eliminó de su sitio web la sección de ingreso manual del ID de empleado

Cronología

• 04/23/2024: Divulgación inicial a ARINC y la FAA
• 04/24/2024: Divulgación de seguimiento al DHS
• 04/25/2024: El CISO del DHS confirma que se está trabajando en una solución
• 05/07/2024: Se confirma que FlyCASS fue separado de KCM/CASS
• 05/17/2024: Seguimiento sobre el comunicado de la TSA (sin respuesta)
• 06/04/2024: Seguimiento sobre el comunicado de la TSA (sin respuesta)

Colaboradores

• Ian Carroll (https://twitter.com/iangcarroll)
• Sam Curry (https://twitter.com/samwcyo)

Resumen de GN⁺

• Este artículo trata una vulnerabilidad grave en los sistemas de seguridad aeroportuaria
• Las fallas de seguridad en los sistemas KCM y CASS generaban un problema por el que cualquiera podía omitir el control de seguridad y acceder a la cabina
• Era posible obtener privilegios de administrador mediante inyección SQL, lo que representaba una amenaza de seguridad grave
• El artículo describe en detalle cómo los investigadores de seguridad descubrieron y divulgaron el problema
• Sistemas con funciones similares incluyen TSA PreCheck y Global Entry

[GN⁺]

Opiniones de Hacker News

• El sistema de la TSA es vulnerable a errores básicos de programación web

  • La TSA tiende a encubrir y negar los problemas en lugar de resolverlos
  • Es una consecuencia natural de una mentalidad autoritaria

• La respuesta de la TSA es infantil y vergonzosa

  • Al principio, el DHS manejó el informe de forma rápida y profesional, pero después no logró mantener el máximo control en la resolución y divulgación del problema

• Más allá de la inyección SQL, sorprende que se hayan creado registros falsos de empleados

  • Sorprende aún más que Homeland no haya arrestado a los involucrados
  • Era muy probable que se malinterpretara como un hackeo malicioso en vez de una divulgación responsable

• Cualquiera con un poco de motivación no tendría dificultad para recrear el 11-S

  • La razón por la que hay poco terrorismo no es que las agencias de seguridad nos protejan, sino que hay poquísimos terroristas

• Es posible que el desarrollador de FlyCASS supiera que el problema se resolvería de inmediato y quisiera generar un impacto mayor

• El hecho de que nadie mencione que las contraseñas se guardan con MD5 muestra lo grave de la situación

  • Como se puede acceder fácilmente a través de consultas SQL, la forma de almacenamiento de contraseñas pierde sentido

• No sorprende que se niegue la gravedad del problema, pero sí sorprende que no se haya informado al FBI ni se haya arrestado a nadie

• Un sistema de seguridad de miles de millones de dólares fue inutilizado por una simple inyección SQL

• La respuesta de la TSA es realmente impactante

• Dan ganas de proponer aumentos salariales para que el gobierno contrate mejor talento, pero el problema parece ser sistémico, así que no serviría de mucho

  • Todos repiten los mismos errores
  • Hubo oportunidades para resolver el problema, pero se dejaron pasar