Περισσότεροι από 1,5 δις χρήστες του TikTok εκτέθηκαν σε κίνδυνο, αλλά υπήρξε άμεση αντιμετώπιση

Απόκρουση μιας ευπάθειας υψηλής σοβαρότητας στην εφαρμογή Android του TikTok είχαμε κατά το περασμένο διάστημα και μάλιστα εάν δεν αντιδρούσε τάχιστα η εταιρεία, θα μπορούσε να έχει επιτρέψει την κλοπή λογαριασμών “με ένα μόνο κλικ” όπως αποκάλυψε η Microsoft.

Σε ένα μινι-ποστ που δημοσιεύτηκε στο blog Microsoft Security, η εταιρεία ανέφερε ότι μια αλυσίδα απανωτών ζητημάτων θα μπορούσε να αφήσει ελεύθερα σε κάποιους να κάνουν κατάχρηση για τη δημιουργία ενός σεναρίου όπου ένας λογαριασμός θα μπορούσε να παραβιαστεί με ένα μόνο πάτημα ενός ειδικά διαμορφωμένου συνδέσμου.

“Οι εισβολείς θα μπορούσαν στη συνέχεια να έχουν πρόσβαση και να τροποποιήσουν τα προφίλ TikTok και ευαίσθητες πληροφορίες των χρηστών, όπως η δημοσιοποίηση ιδιωτικών βίντεο, η αποστολή μηνυμάτων και η ανάρτηση βίντεο για λογαριασμό των χρηστών”, εξήγησε η Microsoft.

Η εν λόγω ευπάθεια λέγεται ότι υπήρχε σε όλες τις εκδόσεις του προγράμματος-πελάτη TikTok Android, οι οποίες έχουν εγκατασταθεί συνολικά περισσότερες από 1,5 δισεκατομμύριο φορές.

Το πρόβλημα περιστράφηκε γύρω από την πλατφόρμα του Javascript που χρησιμοποιείται εκτενώς στο TikTok για Android. Η αναφορά εξετάζει τα τεχνικά προβλήματα, αλλά, στην ουσία, εκμεταλλευόμενος τον χειρισμό του JavaScript από την εφαρμογή, σε συνδυασμό με τον τρόπο με τον οποίο το Android δρομολογεί διευθύνσεις URL, η Microsoft μπόρεσε να επιδείξει έναν συμβιβασμό λογαριασμού.

Ευτυχώς, οι ερευνητές ανακάλυψαν πως κανένα στοιχείο δεν περιήλθε στα χέρια των ανεπιθύμητων χρηστών και έτσι καταλαβαίνουμε πως αυτή η ευπάθεια δεν έγινε αντικείμενο εκμετάλλευσης και το ζήτημα επιδιορθώθηκε λίγο μετά την αποκάλυψη του ζητήματος τον Φεβρουάριο.

“Αυτή η περίπτωση δείχνει πώς η ικανότητα συντονισμού της έρευνας και της ανταλλαγής πληροφοριών απειλών μέσω εξειδικευμένης, δικλαδικής συνεργασίας είναι απαραίτητη για τον αποτελεσματικό μετριασμό των προβλημάτων”, δήλωσε ο Δημήτριος Βαλσαμάρας της Ερευνητικής Ομάδας του Microsoft 365 Defender.

“Καθώς οι απειλές σε όλες τις πλατφόρμες συνεχίζουν να αυξάνονται σε αριθμούς και πολυπλοκότητα, απαιτούνται αποκαλύψεις ευπάθειας, συντονισμένη απόκριση και άλλες μορφές κοινής χρήσης πληροφοριών απειλών για να βοηθήσουν στην ασφαλή υπολογιστική εμπειρία των χρηστών, ανεξάρτητα από την πλατφόρμα ή τη συσκευή που χρησιμοποιείται από εσάς”.

[via]