De graves lacunes en matière de sécurité ont été découvertes dans les aéroports

Les célèbres chercheurs en sécurité Ian Carroll et Sam Curry ont découvert de graves vulnérabilités dans le système FlyCASS. Il s'agit d'un système de gestion basé sur le web utilisé par les petites compagnies aériennes pour gérer le programme KCM (Known Crewmember) et le système CASS (Access Security System).

Le programme KCM permet au personnel de bord autorisé de contourner les contrôles de sécurité réguliers dans les aéroports, tandis que le système CASS réglemente l'accès au cockpit des avions. La vulnérabilité découverte par les chercheurs permet aux pirates de se connecter en tant qu'administrateurs par le biais d'une attaque dite d'injection SQL, toute personne pouvant être ajoutée en tant que KCM ou enregistrée dans le CASS. Dans la pratique, cela pourrait permettre à des personnes non autorisées de contourner les contrôles de sécurité et même de pénétrer dans le cockpit d'un avion. FlyCASS est principalement utilisé par les compagnies aériennes américaines. Il n'est pas certain que les compagnies européennes soient également concernées.

FlyCASS a été désactivé

Après leur découverte alarmante, Carroll et Curry ont informé le ministère américain de la sécurité intérieure (DHS). C'était le 24 avril 2024, et un jour plus tard, le ministère a confirmé qu'il cherchait une solution. FlyCASS a été fermé le 5 juillet 2024, ce qui signifie que la vulnérabilité a persisté pendant plus de deux mois après la notification du DHS.