Investigación sobre vulnerabilidad en sistemas de autenticación de la TSA
Un par de investigadores de seguridad han descubierto una vulnerabilidad en los sistemas de inicio de sesión que la Administración de Seguridad en el Transporte (TSA) utiliza para verificar a los miembros de la tripulación de las aerolíneas en los puntos de control de seguridad de los aeropuertos. El fallo permitió que cualquiera con un “conocimiento básico de inyección SQL” pudiera agregarse a las listas de las aerolíneas, lo que potencialmente les permitiría pasar rápidamente por seguridad y acceder a la cabina de un avión comercial, escribió el investigador Ian Carroll en una publicación de blog en agosto.
Detalles del hallazgo
Carroll y su compañero, Sam Curry, aparentemente descubrieron la vulnerabilidad mientras investigaban el sitio web de un proveedor llamado FlyCASS, que proporciona a las aerolíneas más pequeñas acceso al sistema de Conocimiento de Tripulación (KCM) de la TSA y al Sistema de Seguridad de Acceso a la Cabina (CASS). Encontraron que al insertar un simple apóstrofe en el campo del nombre de usuario, obtuvieron un error de MySQL. Esto fue una muy mala señal, ya que parecía que el nombre de usuario se interpolaba directamente en la consulta SQL de inicio de sesión. Y efectivamente, habían descubierto la inyección SQL y pudieron usar sqlmap para confirmar el problema. Utilizando el nombre de usuario ‘ o ‘1’=’1 y la contraseña ‘) OR MD5(‘1’)=MD5(‘1’, pudieron iniciar sesión en FlyCASS como administradores de Air Transport International.
Afectaciones por la vulnerabilidad
Una vez dentro, Carroll escribió que no había “ninguna verificación o autenticación adicional” que les impidiera agregar registros de tripulación y fotos para cualquier aerolínea que utilizara FlyCASS. Cualquiera que pudiera haber explotado la vulnerabilidad podría presentar un número de empleado falso para pasar por un punto de control de seguridad KCM, según el blog. Sin embargo, el secretario de prensa de la TSA, R. Carter Langston, negó esto, afirmando a Bleeping Computer que la agencia “no depende únicamente de esta base de datos para autenticar a la tripulación de vuelo” y que “solo los miembros de la tripulación verificados tienen acceso a las áreas seguras en los aeropuertos.”
Fuente y créditos: www.theverge.com
Cats:
