多年來，滲透測試公司Pen Test Partners的網(wǎng)絡(luò)安全研究人員致力于測試各種電子飛行包（EFB）、物聯(lián)網(wǎng)和車載應(yīng)用程序的安全性。基于深入研究，他們發(fā)現(xiàn)了空客Flysmart+管理套件中的一個重要漏洞，并在漏洞披露后的19個月內(nèi)進(jìn)行了修復(fù)。

Flysmart+ 是空客旗下的IT服務(wù)公司NAVBLUE專為飛行員電子飛行包（EFB）設(shè)計(jì)的應(yīng)用程序套件，用于同步和安裝航空公司數(shù)據(jù)到其他應(yīng)用中。而電子飛行包主要用于存儲關(guān)鍵的飛行數(shù)據(jù)和信息，用途尤其重要。

2024年2月1日，Pen Test Partners發(fā)表的研究表示，該套件中的一個iOS應(yīng)用程序故意禁用了應(yīng)用傳輸安全（ATS）功能。這一問題容易使應(yīng)用程序受到Wi-Fi攔截攻擊，從而干擾發(fā)動機(jī)性能計(jì)算，導(dǎo)致機(jī)尾撞擊或跑道偏離事故發(fā)生，并且現(xiàn)行的標(biāo)準(zhǔn)操作流程可能無法有效檢測出任何篡改行為。

之前，F(xiàn)lysmart+應(yīng)用程序由于缺乏ATS（應(yīng)用傳輸安全）保護(hù)而被禁用。ATS保護(hù)的目的是防止未加密的通信，因?yàn)槿狈υ摴δ埽话踩耐ㄐ啪蜁l(fā)生，F(xiàn)lysmart+允許攻擊者攔截并解密傳輸中的敏感信息。在info.plist文件中，一個設(shè)置項(xiàng)允許應(yīng)用程序加載任何域的不安全的HTTP內(nèi)容。

航空公司通常為中轉(zhuǎn)停留的飛行員安排同一家酒店，使得攻擊者可以通過定向的Wi-Fi網(wǎng)絡(luò)修改飛機(jī)的性能數(shù)據(jù)。Pen Test Partners利用這一機(jī)會訪問了NAVBLUE服務(wù)器上的數(shù)據(jù)，包括含有飛機(jī)信息和起飛性能數(shù)據(jù)（PERF）的SQLite數(shù)據(jù)庫，以及具有特定表名的數(shù)據(jù)。

研究員從NAVBLUE服務(wù)器下載的數(shù)據(jù)（來源：Pen Test Partners）

需要注意的是，數(shù)據(jù)庫表對于飛機(jī)性能至關(guān)重要，包括最小設(shè)備清單（MEL）和標(biāo)準(zhǔn)儀表離場程序（SID）。比如吉姆利滑翔機(jī)燃油耗盡事件中對MEL和SID的誤解。另外，像美國加侖、英制加侖、升、千克和磅單位之間的混淆也可能造成安全問題。

滲透測試合作伙伴安東尼奧·卡西迪表示：“我們已經(jīng)與波音、漢莎航空和空客合作就安全漏洞進(jìn)行了披露，并且成功修復(fù)這一漏洞，對我們而言，這是航空安全性和保障性的一大進(jìn)步。”

2022年6月28日，研究人員向空客提交了漏洞報(bào)告，空客在次日確認(rèn)了這一漏洞。直至2022年7月25日，該公司復(fù)現(xiàn)了這一漏洞，并承諾將在2022年底之前在Flysmart+新版本中修復(fù)此漏洞。

2023年2月22日，空中客車VDP（漏洞披露計(jì)劃）團(tuán)隊(duì)確認(rèn)已在Flysmart+的最新版本中修復(fù)了該漏洞，并于2023年5月26日向客戶通報(bào)了緩解措施。這些研究成果在2023年于拉斯維加斯舉行的DEF CON 31安全會議以及在都柏林的航空村和航空信息共享與分析中心（Aviation ISAC）上進(jìn)行了展示。