A Microsoft megmenti a TikTok-felhasználókat, miután jelentették a sebezhetőséget, amely "egy kattintással történő fiókeltérítéshez" vezetett.

Miközben a világ azzal van elfoglalva, hogy élvezze a TikTok alkalmazás őrületét, a jól ismert videómegosztó platform felhasználói nem tudják, hogy majdnem áldozatul estek egy sebezhetőségnek, amely miatt a rossz szereplők feltörhették a fiókjukat hónapokkal ezelőtt. Szerencsére megelőzték, mielőtt a rossz színészek észrevették volna microsoft jelentette a TikToknak, amely azonnal megoldotta.

A Microsoft észlelte a „CVE-2022-28799” jelzésű sebezhetőséget, és tavaly februárban jelentette azt a TikToknak a Microsoft Security Vulnerability Research (MSVR) által a Coordinated Vulnerability Disclosure (CVD) révén. A technológiai óriás szerint a probléma súlyos státuszú volt, 8.3-as pontszámmal.

Bár nem találtak bizonyítékot arra, hogy a CVE-2022-28799-et a vadonban kihasználták volna, a sérülékenység több milliárd TikTok felhasználói fiókot sodort veszélybe. Pontosabban, a probléma az alkalmazás Android-felhasználóit érintette, amelynek különböző változatai vannak, több mint 1.5 milliárd letöltés együttes telepítésével a Google Play Áruházban. Siker esetén lehetővé tehette volna, hogy a rossz szereplők különböző fiókokba lépjenek be, videókat tegyenek közzé és privátokat nézzenek meg, elolvassák a felhasználó üzeneteit, lekérjék a fiókadatokat, és még a beállításokat is módosítsák.

A támadás akkor kezdődhet, amikor a felhasználó rákattint egy „speciálisan kialakított rosszindulatú hivatkozásra”. A Microsoft szerint ez akkor vált lehetségessé, amikor kiderült, hogy a CVE-2022-28799 lehetővé tette a TikTok alkalmazás mélyhivatkozás-ellenőrzésének megkerülését. "A támadók arra kényszeríthetik az alkalmazást, hogy töltsön be egy tetszőleges URL-t az alkalmazás WebView-nézetébe, lehetővé téve az URL-nek, hogy hozzáférjen a WebView csatolt JavaScript-hidaihoz, és funkcionalitást biztosítson a támadóknak" - magyarázta a Microsoft 365 Defender Research Team. blogbejegyzés.

Ezzel a Microsoft arra ösztönözte a felhasználókat, hogy bizonyos biztonsági irányelvek betartásával akadályozzák meg a hasonló forgatókönyveket, például figyelmen kívül hagyják a nem megbízható forrásokból származó hivatkozásokat, rendszeresen frissítsék az eszközöket és az alkalmazásokat, kerüljék a nem megbízható forrásokból származó alkalmazástelepítéseket és jelentéseket készítsenek. Ezenkívül a vállalat dicsérte a TikTok gyors intézkedését, miközben hangsúlyozta az együttműködés fontosságát.

"Ez az eset megmutatja, hogy a kutatás és a fenyegetési információk megosztásának szakértői, iparágak közötti együttműködésen keresztüli koordinálásának képessége mennyire szükséges a problémák hatékony enyhítéséhez" - mondta a Microsoft. „Mivel a platformokon átívelő fenyegetések száma és kifinomultsága folyamatosan növekszik, a sebezhetőségek felfedésére, az összehangolt reagálásra és a fenyegetések intelligencia megosztásának egyéb formáira van szükség a felhasználók számítógépes élményének biztonságosabbá tételéhez, függetlenül a használt platformtól vagy eszköztől. Továbbra is együttműködünk a nagyobb biztonsági közösséggel, hogy megosszuk a fenyegetésekkel kapcsolatos kutatási és hírszerzési információkat annak érdekében, hogy mindenki számára jobb védelmet hozzunk létre.”

Ennek ellenére a biztonsági rések okozta problémák nem az egyetlen biztonsági probléma, amellyel a TikTok-felhasználók szembesülnek. A ByteDance és a TikTok hírnevét sokan megkérdőjelezik, mivel a hírek szerint a kínai kormány felhasználta őket saját programjaihoz. Eltekintve a jelentést mondván, hogy a TikTok alkalmazottai többször is hozzáfértek Kínából származó amerikai felhasználói adatokhoz, új aggodalomra ad okot, miután kiderült, hogy egyesek A TikTok dolgozóinak LinkedIn-profilja mutatják, hogy egyszerre dolgoznak a kínai állami médiának.