De Amerikaanse overheid heeft een waarschuwing afgegeven voor de onveilige implementatie van de CAN-bus in kleine vliegtuigen waardoor een aanvaller met fysieke toegang allerlei aanvallen kan uitvoeren. Het Controller Area Network (CAN-bus) is het interne netwerk dat de fysieke onderdelen van het vliegtuig aanstuurt, zoals controle- en sensorsystemen.

Onderzoekers van securitybedrijf Rapid7 ontdekten dat een aanvaller met fysieke toegang tot de bedrading van het vliegtuig valse data naar deze systemen kan sturen, die vervolgens aan de piloot worden gecommuniceerd. Het kan dan bijvoorbeeld gaan om foutieve telemetriegegevens van de motor en onjuiste kompas-, positie-, snelheids- en hoogtegegevens. In sommige gevallen is het ook mogelijk om commando's in de CAN-bus te injecteren die de autopiloot uitschakelen of beïnvloeden.

"Een piloot die op deze instrumentlezingen vertrouwt zou het verschil tussen de valse en legitieme data niet kunnen zien. Dit zou tot een noodlanding of controleverlies over het vliegtuig kunnen leiden", aldus onderzoeker Patrick Kiley. Naar aanleiding van het onderzoek heeft het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security een waarschuwing gegeven.

Het CISA adviseert vliegtuigeigenaren om fysieke toegang tot vliegtuigen voor zover mogelijk te beperken. Vliegtuigfabrikanten worden opgeroepen om de implementatie van hun CAN-busnetwerken te herzien en rekening met de fysieke aanvalsvector te houden. Volgens het CISA zijn er binnen de automobielindustrie allerlei vorderingen gemaakt om de CAN-bus beter te beschermen en zouden vliegtuigfabrikanten hiervan kunnen leren.