En databas för Advance Passenger Information System (APIS) exponerade 220 miljoner uppgifter om passagerare och besättningsmedlemmar på internet. Uppgifterna sträcker sig från januari 2017 till april 2026 och innehåller namn, födelsedatum, nationalitet, pass- eller resedokumentnummer samt flyguppgifter.
Kinryū Labs upptäckte Elasticsearch-klustret den 3 juni under forskning om exponerade databaser. Klustret, som hade namnet ”pax-info”, innehöll 29 index och omkring 107 GB data. De två huvudindexen innehöll 210 318 069 passagerarposter och 10 465 631 besättningsposter, sammanlagt 220 783 700 poster.
Enligt Kinryū Labs var klustret placerat i IP-utrymme som tilldelats Viettel i Hanoi. BleepingComputer kunde inte bekräfta vilken vietnamesisk organisation som drev systemet. Uppgifterna omfattade också flygbolag, flygnummer och datum, flygplatser, platsuppgifter, bagagereferenser samt planerade, beräknade och faktiska flygtider.
Forskarna sade att de nådde databasen genom att kombinera två felkonfigurationer. Den offentliga slutpunkten svarade med HTTP 401 ”Unauthorized”, men en molnbaserad väg ledde till klustret, som accepterade standarduppgifter. Uppgifterna representerar resor snarare än unika personer, så återkommande resenärer kan förekomma flera gånger.
Kinryū Labs rapporterade problemet till vietnamesiska myndigheter, flygbolag och nationella it-incidentteam från och med den 3 juni. Forskarna sade att åtkomsten åtgärdades den 8 juni. De kunde inte avgöra om någon hade kopierat eller på annat sätt utnyttjat uppgifterna innan de säkrades.
Kommentarer
0Inga kommentarer ännu. Skriv den första.