Microsoft rettet TikTok-Benutzer, nachdem eine Schwachstelle gemeldet wurde, die zu einer „Ein-Klick-Kontenentführung“ führt

Während die Welt damit beschäftigt ist, sich an der Begeisterung für die TikTok-App zu erfreuen, wissen die Benutzer der bekannten Video-Sharing-Plattform nicht, dass sie fast Opfer einer Schwachstelle geworden wären, die es böswilligen Akteuren ermöglicht hätte, ihre Konten vor Monaten zu knacken. Zum Glück wurde es verhindert, bevor es später von schlechten Schauspielern bemerkt wurde Microsoft meldete es TikTok, das es sofort löste.

Microsoft hat die Schwachstelle mit der Bezeichnung „CVE-2022-28799“ entdeckt und TikTok im vergangenen Februar über seine Coordinated Vulnerability Disclosure (CVD) über Microsoft Security Vulnerability Research (MSVR) gemeldet. Laut dem Technologieriesen hatte das Problem einen hohen Schweregrad mit einer Punktzahl von 8.3.

Obwohl keine Beweise dafür gefunden wurden, dass CVE-2022-28799 in freier Wildbahn ausgenutzt wurde, gefährdete die Schwachstelle Milliarden von TikTok-Benutzerkonten. Insbesondere betraf das Problem Android-Nutzer der App, die verschiedene Varianten mit kombinierten Installationen von über 1.5 Milliarden Downloads im Google Play Store hat. Im Erfolgsfall hätte es Angreifern ermöglichen können, auf verschiedene Konten zuzugreifen, Videos zu posten und private Videos anzusehen, die Nachrichten des Benutzers zu lesen, Kontodaten abzurufen und sogar die Einstellungen zu ändern.

Der Angriff kann beginnen, wenn ein Benutzer auf einen „speziell gestalteten schädlichen Link“ klickt. Laut Microsoft wurde es möglich, als entdeckt wurde, dass CVE-2022-28799 die Umgehung der Deeplink-Verifizierung der TikTok-App ermöglichte. „Angreifer könnten die App zwingen, eine beliebige URL in die WebView der App zu laden, wodurch die URL dann auf die an die WebView angehängten JavaScript-Bridges zugreifen und Angreifern Funktionen gewähren kann“, erklärte das Microsoft 365 Defender Research Team in seinem Blog-Post.

Damit ermutigte Microsoft die Benutzer, ähnliche Szenarien zu verhindern, indem sie einige Sicherheitsrichtlinien beachten, wie das Ignorieren von Links aus nicht vertrauenswürdigen Quellen, das regelmäßige Aktualisieren von Geräten und Apps, das Vermeiden von App-Installationen aus nicht vertrauenswürdigen Quellen und das Melden. Darüber hinaus lobte das Unternehmen die schnelle Aktion von TikTok und betonte die Bedeutung der Zusammenarbeit.

„Dieser Fall zeigt, wie notwendig die Fähigkeit ist, die Forschung und den Austausch von Bedrohungsinformationen durch branchenübergreifende Zusammenarbeit von Experten zu koordinieren, um Probleme effektiv zu mindern“, sagte Microsoft. „Da plattformübergreifende Bedrohungen immer zahlreicher und ausgeklügelter werden, sind die Offenlegung von Schwachstellen, koordinierte Reaktionen und andere Formen des Austauschs von Bedrohungsinformationen erforderlich, um das Computererlebnis der Benutzer unabhängig von der verwendeten Plattform oder dem verwendeten Gerät zu schützen. Wir werden weiterhin mit der größeren Sicherheitsgemeinschaft zusammenarbeiten, um Forschungsergebnisse und Informationen über Bedrohungen auszutauschen, um einen besseren Schutz für alle zu schaffen.“

Trotzdem sind Probleme, die durch Schwachstellen verursacht werden, nicht die einzigen Sicherheitsprobleme, mit denen TikTok-Benutzer konfrontiert sind. Der Ruf von ByteDance und TikTok wird von vielen aufgrund von Berichten in Frage gestellt, dass sie von der chinesischen Regierung für ihre eigenen Agenden verwendet werden. Abgesehen von einem berichten Laut TikTok-Mitarbeitern wurde wiederholt auf die US-Benutzerdaten aus China zugegriffen, eine neue Besorgnis tauchte auf, nachdem festgestellt wurde, dass einige LinkedIn-Profile von TikTok-Mitarbeitern zeigen, dass sie gleichzeitig für die chinesischen Staatsmedien arbeiten.