Aktualności

Badacze Microsoft odkryli, że aplikacja TikTok na Androida zawierała krytyczną lukę, którą przestępcy mogli wykorzystać do przejęcia kont użytkowników. Luka polegała na użyciu spreparowanego adresu URL, aby ominąć mechanizm weryfikacji precyzyjnych linków aplikacji i zmusić komponent WebView aplikacji do załadowania dowolnego adresu URL.

Luka może pozwolić cyberprzestępcom na przejęcie konta jednym kliknięciem dzięki wykorzystaniu dołączonego interfejsu JavaScript. Błąd, oznaczony jako CVE-2022-28799, dotyczy starszych wersji aplikacji TikTok (23.7.3 i starsze).

Cyberprzestępcy mogli wykorzystać ujawnioną lukę w zabezpieczeniach omijania weryfikacji za pomocą linków precyzyjnych w połączeniu z metodą uwierzytelniania żądania HTTP, aby złamać zabezpieczenia kont TikTok.

Eksperci ustalili, że luka dotyczyła obu wersji TikTok: wydania z Azji Wschodniej i Południowo-Wschodniej (com.ss.android.ugc.trill) oraz globalnej (com.zhilliaoap.musically).

W samym Sklepie Play Google aplikacje mają łącznie 1,5 miliarda instalacji.

Firma Microsoft wydała krótką listę zaleceń dotyczących ochrony przed tym atakiem i podobnymi:

• Unikanie instalowania aplikacji z nieznanych źródeł,
• Aktualizowanie urządzenia i zainstalowanych aplikacji,
• Unikanie klikania linków z niezaufanych źródeł,
• Zgłaszanie dostawcy wszelkich podejrzanych działań w aplikacji,

Źródło: www.bitdefender.pl
W razie dodatkowych pytań zapraszamy do kontaktu.