Microsoft mercoledì ha rivelato i dettagli di una "vulnerabilità ad alta gravità" ora corretta nell'app TikTok per Android che potrebbe consentire agli aggressori di assumere il controllo degli account quando le vittime hanno fatto clic su un collegamento dannoso.
"Gli aggressori avrebbero potuto sfruttare la vulnerabilità per dirottare un account all'insaputa degli utenti se un utente mirato avesse semplicemente fatto clic su un collegamento appositamente predisposto", ha affermato Dimitrios Valsamaras del Microsoft 365 Defender Research Team in un articolo.
Lo sfruttamento riuscito della falla potrebbe aver consentito ad attori malintenzionati di accedere e modificare i profili TikTok degli utenti e le informazioni sensibili, portando all'esposizione non autorizzata di video privati. Gli aggressori potrebbero anche aver abusato del bug per inviare messaggi e caricare video per conto degli utenti.
Il problema, affrontato nella versione 23.7.3, interessa due versioni della sua app Android com.ss.android.ugc.trill (per utenti dell'Asia orientale e sudorientale) e com.zhiliaoapp.musically (per utenti di altri paesi ad eccezione dell'India, dove è vietato). Insieme, le app hanno più di 1,5 miliardi di installazioni tra di loro.
Tracciato come CVE-2022-28799 (punteggio CVSS: 8,8), la vulnerabilità ha a che fare con la gestione da parte dell'app di ciò che viene chiamato deeplink, un collegamento ipertestuale speciale che consente alle app di aprire una risorsa specifica all'interno di un'altra app installata sul dispositivo anziché indirizzare utenti a un sito web.
"Un URL creato (deeplink non convalidato) può costringere com.zhiliaoapp.musically WebView a caricare un sito Web arbitrario", secondo un avviso per il difetto. "Ciò potrebbe consentire a un utente malintenzionato di sfruttare un'interfaccia JavaScript collegata per l'acquisizione con un clic".
In parole povere, la falla consente di aggirare le restrizioni delle app per rifiutare host non attendibili e caricare qualsiasi sito Web a scelta dell'attaccante tramite Android System WebView , un meccanismo per visualizzare contenuti Web su altre app.
"Il filtraggio avviene lato server e la decisione di caricare o rifiutare un URL si basa sulla risposta ricevuta da una particolare richiesta HTTP GET", ha spiegato Valsamaras, aggiungendo l'analisi statica "ha indicato che è possibile bypassare il server -side check aggiungendo due parametri aggiuntivi al deeplink."
Una conseguenza di questo exploit progettato per dirottare WebView per caricare siti Web canaglia è che potrebbe consentire all'avversario di invocare oltre 70 endpoint TikTok esposti, compromettendo di fatto l'integrità del profilo di un utente. Non ci sono prove che l'insetto sia stato utilizzato come arma in natura.
"Dal punto di vista della programmazione, l'utilizzo di interfacce JavaScript comporta rischi significativi", ha osservato Microsoft . "Un'interfaccia JavaScript compromessa può potenzialmente consentire agli aggressori di eseguire codice utilizzando l'ID e i privilegi dell'applicazione".
Commenti
Posta un commento