美國國土安全部網路安全局 (CISA) 提出警告，由於小型飛機元件存在漏洞，如果攻擊者能夠實際接觸，就可改變航空器的遙測功能。
這項漏洞位於小型飛機的控制器區域網路 (CAN) 匯流排；CAN 匯流排可讓航空器 (或任何其他類型載具) 內部的各種裝置及元件互相通訊。
如果要利用這項漏洞，就必須實際接觸航空器。由於必須實際接觸，潛在攻擊者可裝設裝置，將偽造資料注入航空電子設備的 CAN 匯流排，導致航空器航空電子設備的讀數錯誤。
航空器的遙測讀數、海拔高度、羅盤及位置資料、攻角及空速，都可能透過這種方式加以操控。機師可能在不知情的狀況下仰賴錯誤量測資料，並喪失對航空器的控制權。
CISA 於安全公告中發佈此項資訊，敦促小型飛機擁有者限制接觸其航空器，而製造商則應審查 CAN 匯流排實作。這份報告是以發現漏洞的 Rapid7 研究人員分析為依據。
研究人員針對飛機及其他更容易接觸的載具 (例如汽車) 進行安全比較，因為 CAN 匯流排實作是載具網路連線的標準配備，也出現在汽車之中。
他們假定由於飛機實體安全性一般高於汽車，因此探討汽車 CAN 匯流排安全的研究比飛機更多。事實上，過去已探索汽車使用的 CAN 匯流排，並提出可能大幅影響汽車性能的安全問題。實作類似於汽車 CAN 匯流排的安全措施，有助於防禦對抗可能遭利用的漏洞。
[請參閱：連網汽車危機：漏洞對 CAN 標準造成影響之際]
安全盲點
這個案例顯示在產業或機器單一領域實施的嚴格安全措施，可能會在無意間於其他領域產生盲點。這次的 CAN 匯流排漏洞及之前回報的個案，證實漏洞就存在於這些盲點之中，例如在用於提升交通安全的自動識別系統 (AIS) 中發現的安全問題。
各種漏洞會影響不同產業，涵蓋各種產業在程序中實作的標準通訊協定及關鍵系統。以下舉出幾項最佳實務，協助您對抗漏洞，並減少安全盲點：
- 留意網路威脅情境中最新的研究成果。掌握最新的威脅趨勢及發現的漏洞，有助於讓產業做好準備對抗攻擊。
- 實作網路分隔。對這類漏洞而言，建立 CAN 子匯流排可避免讓 CAN 訊框自由循環至載具的所有裝置及元件。
- 定期評估所有安全領域。如本案例所示，僅仰賴單一安全層面，可能會在無意中忽略其他層面。定期評估不同的安全領域，可減少企業防禦措施中的可能盲點。
來源: DHS Warning: Small Planes Vulnerable to Cyberattack Through CAN Bus Component