SQL Injection di FlyCASS: Celah yang Bisa Lewati Pemeriksaan Bandara

Dua peneliti keamanan, Ian Carroll dan Sam Curry, baru-baru ini mengungkap kerentanan serius yang memungkinkan siapa saja dengan pengetahuan dasar SQL injection untuk melewati pemeriksaan keamanan bandara dan bahkan mengakses cockpit pesawat komersial. Temuan ini mengejutkan komunitas cybersecurity karena melibatkan sistem pemerintah yang seharusnya sangat aman.

Dalam artikel ini, kita akan breakdown bagaimana kerentanan ini bekerja, sistem apa yang terdampak, dan pelajaran penting bagi praktisi keamanan siber Indonesia.

Latar Belakang: KCM dan CASS

Sistem yang bermasalah adalah Known Crewmember (KCM) dan Cockpit Access Security System (CASS), dua program TSA yang memungkinkan pilot dan pramugari melewati pemeriksaan keamanan bandara saat bepergian domestik. KCM juga memberikan akses ke cockpit melalui jumpseat.

Proses verifikasi melibatkan pemindaian barcode KCM atau input manual nomor karyawan dan maskapai ke laptop TSA, yang kemudian memeriksa status kepegawaian melalui sistem ARINC. Jika valid, karyawan bisa masuk area steril tanpa pemeriksaan sama sekali.

FlyCASS dan SQL Injection

ARINC, kontraktor TSA, mengoperasikan hub yang merutekan permintaan verifikasi ke sistem masing-masing maskapai. Untuk maskapai kecil yang tidak memiliki sistem sendiri, ada vendor bernama FlyCASS yang menyediakan antarmuka web berbasis SQL.

Carroll dan Curry menemukan bahwa halaman login FlyCASS rentan terhadap SQL injection. Cukup dengan memasukkan single quote di username, sistem langsung mengembalikan error MySQL. Ini menandakan input username langsung diinterpolasi ke dalam query SQL tanpa sanitasi.

Dengan payload sederhana seperti ' OR '1'='1 untuk username dan ' OR MD5('1')=MD5('1 untuk password, peneliti berhasil login sebagai administrator maskapai Air Transport International.

Dampak: Add User ke KCM dan CASS

Yang lebih mengerikan, setelah masuk sebagai admin, mereka menemukan tidak ada verifikasi tambahan untuk menambahkan karyawan baru. Sebagai admin, mereka bisa menambahkan siapa saja sebagai pengguna yang diotorisasi untuk KCM dan CASS.

Untuk membuktikan, mereka membuat karyawan fiktif bernama Test TestOnly dengan foto bebas, dan memeriksa statusnya melalui fitur Query. Hasilnya: pengguna test tersebut disetujui untuk KCM dan CASS.

Artinya, penyerang dengan pengetahuan SQL injection dasar bisa menambahkan diri sendiri ke daftar kru yang dipercaya, melewati pemeriksaan keamanan bandara, lalu mengakses cockpit pesawat komersial.

Proses Disclosure yang Bermasalah

Setelah menemukan bug ini, Carroll dan Curry segera melakukan disclosure ke Department of Homeland Security pada 23 April 2024. DHS mengakui masalah dan mengatakan mereka menganggap ini sangat serius. FlyCASS kemudian dinonaktifkan dari KCM/CASS.

Namun, setelah perbaikan, TSA malah mengeluarkan pernyataan pers yang menurut peneliti berbahaya dan tidak akurat. TSA mengklaim kerentanan tidak bisa digunakan untuk mengakses KCM karena ada proses vetting sebelum menerbitkan barcode. Padahal, KCM bisa diakses tanpa barcode: petugas TSA bisa memasukkan employee ID secara manual.

Menariknya, setelah peneliti mengoreksi TSA, bagian website yang menjelaskan input manual employee ID dihapus tanpa ada tanggapan lebih lanjut dari TSA. Interface yang digunakan petugas TSA sendiri masih mengizinkan input manual.

Pelajaran untuk Praktisi Keamanan

Kasus FlyCASS mengajarkan beberapa hal krusial:

• SQL injection masih hidup: Di tahun 2024, kerentanan klasik ini masih ditemukan di sistem kritikal infrastruktur nasional.

• Input validation adalah keharusan: Tidak ada alasan untuk menginterpolasi input user langsung ke query SQL di sistem selevel ini.

• Disclosure handling penting: Cara organisasi merespons laporan kerentanan bisa sama berbahayanya dengan bug itu sendiri jika pernyataan publiknya menyesatkan.

• Defense in depth: Jika ada satu layer autentikasi yang gagal, layer kedua seharusnya mencegah eksploitasi. Di FlyCASS, setelah bypass login, tidak ada verifikasi sama sekali untuk add user.

Kesimpulan

Kerentanan SQL injection di FlyCASS adalah pengingat bahwa keamanan siber tidak hanya tentang teknologi canggih, tapi juga tentang fundamental yang sering diabaikan. Bagi praktisi keamanan di Indonesia, ini adalah contoh nyata bagaimana bug dasar bisa berdampak fatal pada sistem infrastruktur kritis.

Baca laporan lengkap dari Ian Carroll dan Sam Curry untuk detail teknis lengkapnya.

Gambar: Ian Carroll / Spr.