Microsoft pelastaa TikTokin käyttäjät raportoituaan haavoittuvuudesta, joka johtaa "tilin kaappaamiseen yhdellä napsautuksella"

Samaan aikaan kun maailma nauttii TikTok-sovelluksen villistuksesta, tunnetun videonjakoalustan käyttäjät ovat tietämättömiä siitä, että he melkein joutuivat haavoittuvuuden uhriksi, joka olisi voinut antaa huonojen toimijoiden murtaa tilinsä kuukausia sitten. Onneksi se estettiin ennen kuin huonot näyttelijät huomasivat sen Microsoft ilmoitti sen TikTokille, joka ratkaisi sen välittömästi.

Microsoft havaitsi haavoittuvuuden, jonka nimi on "CVE-2022-28799", ja ilmoitti siitä TikTokille viime helmikuussa Microsoft Security Vulnerability Researchin (MSVR) kautta Coordinated Vulnerability Disclosure (CVD) -julkaisun kautta. Teknologiajättiläisen mukaan ongelman vakavuusaste oli 8.3.

Vaikka todisteita CVE-2022-28799:n hyväksikäytöstä luonnossa ei löytynyt, haavoittuvuus vaaransi miljardit TikTok-käyttäjätilit. Tarkemmin sanottuna ongelma koski sovelluksen Android-käyttäjiä, sillä sovelluksella on erilaisia ​​versioita ja yhdistettyjä asennuksia yli 1.5 miljardia latausta Google Play Kaupassa. Jos se olisi onnistunut, se olisi voinut antaa huonoille toimijoille mahdollisuuden päästä eri tileille, julkaista videoita ja katsella yksityisiä, lukea käyttäjän viestejä, hakea tilitietoja ja jopa muokata asetuksia.

Hyökkäys voi alkaa, kun käyttäjä napsauttaa "erityisesti muotoiltua haitallista linkkiä". Microsoftin mukaan se tuli mahdolliseksi, kun havaittiin, että CVE-2022-28799 salli TikTok-sovelluksen syvälinkkivahvistuksen ohituksen. "Hyökkääjät voivat pakottaa sovelluksen lataamaan mielivaltaisen URL-osoitteen sovelluksen WebView'hun, jolloin URL-osoite voi käyttää WebView'n liitettyjä JavaScript-siltoja ja antaa toimintoja hyökkääjille", Microsoft 365 Defender Research Team selitti. blogi.

Tällä Microsoft rohkaisi käyttäjiä estämään samankaltaiset skenaariot noudattamalla tiettyjä tietoturvaohjeita, kuten jättämällä huomioimatta linkit epäluotettavista lähteistä, päivittämällä laitteita ja sovelluksia säännöllisesti, välttämällä sovellusten asentamista epäluotettavista lähteistä ja raportoimalla. Lisäksi yhtiö kehui TikTokin nopeaa toimintaa korostaen samalla yhteistyön tärkeyttä.

"Tämä tapaus osoittaa, kuinka kyky koordinoida tutkimusta ja uhkatiedon jakamista asiantuntija-alojen välisen yhteistyön avulla on tarpeen ongelmien tehokkaaseen lieventämiseen", Microsoft sanoi. "Kun uhkien määrä ja kehittyneisyys kasvavat edelleen eri alustoilla, haavoittuvuuksien paljastamista, koordinoitua reagointia ja muita uhkien tietojen jakamisen muotoja tarvitaan turvatakseen käyttäjien tietojenkäsittelykokemuksen käytetystä alustasta tai laitteesta riippumatta. Jatkamme yhteistyötä laajemman turvallisuusyhteisön kanssa uhkia koskevan tutkimuksen ja tiedustelutietojen jakamiseksi pyrkiessämme rakentamaan parempaa suojaa kaikille."

Tästä huolimatta haavoittuvuuksista johtuvat ongelmat eivät ole ainoita TikTokin käyttäjien kohtaamia tietoturvaongelmia. Monet ovat kyseenalaistaneet ByteDancen ja TikTokin maineensa, koska Kiinan hallitus on käyttänyt niitä omiin asialistoihinsa. Paitsi a raportti Sanomalla, että TikTokin työntekijät käyttivät toistuvasti yhdysvaltalaisia ​​käyttäjätietoja Kiinasta, ilmaantui uusi huolenaihe, kun havaittiin, että jotkut TikTok-työntekijöiden LinkedIn-profiilit osoittavat, että he työskentelevät samanaikaisesti Kiinan valtion medialle.