多年來，滲透測試公司Pen Test Partners的網絡安全研究人員致力于測試各種電子飛行包（EFB）、物聯網和車載應用程序的安全性。基于深入研究，他們發現了空客Flysmart+管理套件中的一個重要漏洞，并在漏洞披露后的19個月內進行了修復。

Flysmart+ 是空客旗下的IT服務公司NAVBLUE專為飛行員電子飛行包（EFB）設計的應用程序套件，用于同步和安裝航空公司數據到其他應用中。而電子飛行包主要用于存儲關鍵的飛行數據和信息，用途尤其重要。

2024年2月1日，Pen Test Partners發表的研究表示，該套件中的一個iOS應用程序故意禁用了應用傳輸安全（ATS）功能。這一問題容易使應用程序受到Wi-Fi攔截攻擊，從而干擾發動機性能計算，導致機尾撞擊或跑道偏離事故發生，并且現行的標準操作流程可能無法有效檢測出任何篡改行為。

之前，Flysmart+應用程序由于缺乏ATS（應用傳輸安全）保護而被禁用。ATS保護的目的是防止未加密的通信，因為缺乏該功能，不安全的通信就會發生，Flysmart+允許攻擊者攔截并解密傳輸中的敏感信息。在info.plist文件中，一個設置項允許應用程序加載任何域的不安全的HTTP內容。

航空公司通常為中轉停留的飛行員安排同一家酒店，使得攻擊者可以通過定向的Wi-Fi網絡修改飛機的性能數據。Pen Test Partners利用這一機會訪問了NAVBLUE服務器上的數據，包括含有飛機信息和起飛性能數據（PERF）的SQLite數據庫，以及具有特定表名的數據。

研究員從NAVBLUE服務器下載的數據（來源：Pen Test Partners）

需要注意的是，數據庫表對于飛機性能至關重要，包括最小設備清單（MEL）和標準儀表離場程序（SID）。比如吉姆利滑翔機燃油耗盡事件中對MEL和SID的誤解。另外，像美國加侖、英制加侖、升、千克和磅單位之間的混淆也可能造成安全問題。

滲透測試合作伙伴安東尼奧·卡西迪表示：“我們已經與波音、漢莎航空和空客合作就安全漏洞進行了披露，并且成功修復這一漏洞，對我們而言，這是航空安全性和保障性的一大進步。”

2022年6月28日，研究人員向空客提交了漏洞報告，空客在次日確認了這一漏洞。直至2022年7月25日，該公司復現了這一漏洞，并承諾將在2022年底之前在Flysmart+新版本中修復此漏洞。

2023年2月22日，空中客車VDP（漏洞披露計劃）團隊確認已在Flysmart+的最新版本中修復了該漏洞，并于2023年5月26日向客戶通報了緩解措施。這些研究成果在2023年于拉斯維加斯舉行的DEF CON 31安全會議以及在都柏林的航空村和航空信息共享與分析中心（Aviation ISAC）上進行了展示。