Microsoft menyelamatkan pengguna TikTok setelah melaporkan kerentanan yang mengarah ke "pembajakan akun satu klik"

Sementara dunia sibuk menikmati kegilaan atas aplikasi TikTok, pengguna platform berbagi video yang terkenal tidak tahu apa-apa bahwa mereka hampir menjadi korban kerentanan yang bisa membuat pelaku jahat melanggar akun mereka beberapa bulan yang lalu. Untungnya, itu dicegah sebelum diketahui oleh aktor jahat setelahnya Microsoft melaporkannya ke TikTok, yang segera menyelesaikannya.

Microsoft melihat kerentanan berlabel "CVE-2022-28799" dan melaporkannya ke TikTok Februari lalu melalui Coordinated Vulnerability Disclosure (CVD) melalui Microsoft Security Vulnerability Research (MSVR). Menurut raksasa teknologi tersebut, masalah tersebut memiliki status tingkat keparahan yang tinggi dengan skor 8.3.

Meskipun tidak ada bukti yang ditemukan bahwa CVE-2022-28799 dieksploitasi secara liar, kerentanan tersebut membahayakan miliaran akun pengguna TikTok. Secara khusus, masalahnya melibatkan pengguna aplikasi Android, yang memiliki varian berbeda dengan pemasangan gabungan lebih dari 1.5 miliar unduhan di Google Play Store. Jika berhasil, itu bisa memungkinkan pelaku jahat untuk masuk ke akun yang berbeda, memposting video dan melihat yang pribadi, membaca pesan pengguna, mengambil data akun, dan bahkan mengubah pengaturan.

Serangan dapat dimulai ketika pengguna mengklik "tautan berbahaya yang dibuat khusus". Menurut Microsoft, menjadi mungkin ketika ditemukan bahwa CVE-2022-28799 memungkinkan bypass verifikasi deeplink aplikasi TikTok. “Penyerang dapat memaksa aplikasi untuk memuat URL arbitrer ke WebView aplikasi, memungkinkan URL tersebut untuk kemudian mengakses jembatan JavaScript terlampir di WebView dan memberikan fungsionalitas kepada penyerang,” jelas Tim Riset Pembela Microsoft 365 dalam laporannya. posting blog.

Dengan ini, Microsoft mendorong pengguna untuk mencegah skenario serupa dengan mematuhi beberapa pedoman keamanan, seperti mengabaikan tautan dari sumber yang tidak tepercaya, memperbarui perangkat dan aplikasi secara teratur, menghindari penginstalan aplikasi dari sumber yang tidak tepercaya, dan melaporkan. Selain itu, perusahaan memuji tindakan cepat yang dilakukan oleh TikTok sambil menggarisbawahi pentingnya kolaborasi.

"Kasus ini menunjukkan bagaimana kemampuan untuk mengoordinasikan penelitian dan berbagi intelijen ancaman melalui pakar, kolaborasi lintas industri diperlukan untuk mengurangi masalah secara efektif," kata Microsoft. “Karena ancaman di seluruh platform terus bertambah dalam jumlah dan kecanggihan, pengungkapan kerentanan, respons terkoordinasi, dan bentuk lain dari berbagi intelijen ancaman diperlukan untuk membantu mengamankan pengalaman komputasi pengguna, terlepas dari platform atau perangkat yang digunakan. Kami akan terus bekerja dengan komunitas keamanan yang lebih besar untuk berbagi penelitian dan intelijen tentang ancaman dalam upaya membangun perlindungan yang lebih baik untuk semua.”

Meskipun demikian, masalah yang disebabkan oleh kerentanan bukan satu-satunya masalah keamanan yang dihadapi oleh pengguna TikTok. ByteDance dan TikTok memiliki reputasi yang dipertanyakan oleh banyak orang karena laporan digunakan oleh pemerintah China untuk agendanya sendiri. Selain dari melaporkan Mengatakan karyawan TikTok berulang kali mengakses data pengguna AS dari China, kekhawatiran baru muncul setelah ditemukan beberapa Profil LinkedIn pekerja TikTok menunjukkan bahwa mereka secara bersamaan bekerja untuk media pemerintah China.