Eine wichtige Sicherheitslücke, die weltweit fast die Hälfte aller Fluglinien beeinflusst nur durch Forscher Noam Rotum entdeckt wurde.
Der Forscher eher zufällig auf den Fehler, während ein Flug mit israelischen nationalen Fluggesellschaft EL AL Israel Airlines buchen. Die Sicherheitslücke erlaubt es jedem, den Zugriff auf und manipulieren privaten Informationen über Flugbuchungen, nur durch das Opfer der PNR mit (Passenger Name Record) Anzahl.
Vulnerability In Amadeus Flugreservierungssystem
Die Sicherheitslücke in Frage wurde von Amadeus entwickelt sich in der beliebten Online-Flugbuchungssystem befindet. Die Plattform wird von 141 internationale Fluggesellschaften, wie Lufthansa und Air Canada.
Während der Buchung einen Flug mit EL AL, Rotum erhielt den folgenden Link seine PNR-Nummer zu überprüfen: https://fly.elal.co.il/LOTS-OF-NUMBERS-HERE. Und das ist, wo das Problem ist,: nur durch die sich wandelnde RULE_SOURCE_1_ID, Der Forscher konnte jede PNR anzuzeigen und den Namen des Kunden und die damit verbundene Flugdaten zugreifen, er sagte in seinem Bericht, fügte hinzu, dass:
Mit der PNR und Kundennamen zur Verfügung, konnten wir in EL AL Kundenportal anmelden (https://booking.elal.co.il/newBooking/changeOrderNewSite.jsp) und Änderungen, Anspruch Vielflieger-Meilen auf ein persönliches Konto, zuweisen Sitze und Mahlzeiten, und aktualisieren Sie den E-Mail und Telefonnummer des Kunden, die dann dazu verwendet werden könnte, um abzubrechen / Wechsel Flugbuchung über Kundenservice.
Es ist zu beachten, dass EL AL die PNR-Codes über unverschlüsselte E-Mail sendet, und einige Kunden sogar auf Facebook oder Instagram teilen. Jedoch, das ist nicht einmal das Schlimmste. Die Forscher fanden heraus, dass die Amadeus Plattform keinen Brute-Force-Schutz hat. So war es ganz einfach, die PNR-Zahlen von Zufall Kunden zu finden, und damit ihre persönlichen Daten darin enthaltenen.
Der Forscher und sein Team kontaktiert EL AL sie sofort über die gefährlichen Erkenntnisse aufmerksam zu machen, fordert sie auf diese auszuräumen, bevor es von jemandem mit bösartigen Absichten ausgenutzt ist. Rotum vorgeschlagen sogar mehrere Lösungen, sowie "ergeben die Verletzlichkeit durch Einführung captchas, Passwörter (anstelle eines PNR-Code 6-Zeichen), und ein Schutzmechanismus bietet, um einen Brute-Force-Ansatz zu vermeiden, mit".
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: