O vulnerabilitate gravă în aplicația TikTok pentru Android, care ar fi putut permite preluarea de conturi cu un singur clic, a fost descoperită de cercetătorii de securitate de la Microsoft în urmă cu câteva zile, conform Forbes.
Vulnerabilitatea, CVE-2022-28799, a fost evaluată la cota 8.8 (grad ridicat) de către Institutul Național de Standarde și Tehnologie din SUA, care consideră că aceasta îi permite “unui atacator să folosească o interfață JavaScript, atașată, pentru a prelua controlul cu un singur click”.
Cum poate un atacator să acceze în mod iligitim contul unui utilizator printr-un singur clic? Victima trebuie să apese pe un link creat de atacator, care are în spate o secvență de erori puse cap la cap. În acest mod, victimă îi oferă, practic, hacker-ului acces la profilul de utilizator TikTok, la opțiunea de a publica videoclipuri și de a trimite mesaje, a dezvăluit Microsoft.
Tot Microsoft menționează că “vulnerabilitatea permitea trecerea verificării deeplink a aplicației. Atacatorii puteau forța aplicația să încarce un URL arbitrar în WebView-ul aplicației”. Termenul de “deeplink” se referă la un anumit tip de link, prin care un utilizator este redirecționat instantaneu către un anumit punct de pe o pagină web similară sau un site web diferit, conform Cloudo3.
Eroarea CVE-2022-28799 își merită gradul ridicat de pericol, întrucât aplicația TikTok a fost instalată pe dispozitive cu program de operare Android de 1,5 miliarde de ori la nivel global, astfel impactul putea fi unul uriaș.
Cu toate acestea, vulnerabilitatea nu a fost exploatată de hackeri.
Din fericire, cu ajutorul gigantului tehnologic, Microsoft, TikTok a reușit să soluționeze eroarea, în mod eficient, actualizând aplicația pe Android. Utilizatorii TikTok care o accesează prin Android sunt sfătuiți să verifice dacă aplicația lor a fost actualizată și dacă este protejată împotriva acestei probleme de securitate.
