「重大度が高い」TikTok の脆弱性により、ワンクリックでアカウントが乗っ取られる

Android 向け TikTok アプリの脆弱性により、悪意のあるリンクをクリックしたアカウントが攻撃者に乗っ取られ、プラットフォームの何億人ものユーザーに影響を与える可能性がありました。

ワンクリック エクスプロイトの詳細は、本日公開されました。 ブログ投稿 Microsoft の 365 Defender Research Team の研究者によるものです。 この脆弱性は Microsoft によって TikTok に公開され、その後パッチが適用されました。

「深刻度の高い脆弱性」と名付けられたこのバグとその結果としての攻撃は、特別に細工されたリンクをクリックすると、Android 上の TikTok ユーザーのアカウントを知らないうちに乗っ取るために使用される可能性がありました。 リンクをクリックすると、攻撃者は、動画のアップロードと投稿、他のユーザーへのメッセージの送信、アカウントに保存されている非公開動画の表示など、アカウントのすべての主要機能にアクセスできるようになります。

Google Play ストアで合計 15 億回以上ダウンロードされている Android TikTok アプリのすべてのグローバル バリアントに影響を与えたため、潜在的な影響は非常に大きなものでした。 ただし、それが大規模に悪用されたという証拠はありません。 発見と開示に関与した研究者は、TikTok の迅速な対応を称賛しました。

Microsoft Defender for Endpoint のセキュリティ リサーチ担当パートナー ディレクターである Tanmay Ganacharya 氏は、次のように述べています。 ザ・バージ. 「TikTok は迅速に対応し、セキュリティ チームによる効率的かつ専門的な解決策を称賛します。」

ブログ投稿で公開された詳細によると、この脆弱性は ディープリンク Android アプリの機能。 このディープ リンク処理は、特定のアプリが特定の方法でリンクを処理できるようにオペレーティング システムに指示します。たとえば、Web ページに埋め込まれた HTML の[このアカウントをフォローする]ボタンをクリックした後に Twitter アプリを開いてユーザーをフォローするなどです。

このリンク処理には、アプリケーションが特定のリンクをロードするときに実行されるアクションを制限する検証プロセスも含まれます。 しかし、研究者たちは、この検証プロセスをバイパスし、アプリ内で武器化される可能性のある多くの機能を実行する方法を発見しました。

これらの関数の 1 つを使用すると、特定のユーザー アカウントに関連付けられた認証トークンを取得できるため、パスワードを入力する必要なく、アカウントへのアクセスを効果的に許可できます。 概念実証攻撃で、研究者は悪意のあるリンクを作成しました。このリンクをクリックすると、TikTok アカウントの略歴が「SECURITY BREACH」に変更されました。

マイクロソフト

幸いなことに、脆弱性が検出されたため、Microsoft はこの機会を利用して、テクノロジ プラットフォームとベンダー間のコラボレーションと調整の重要性を強調しました。

Microsoft の Dimitrios Valsamaras は次のように書いています。ブログ投稿で。 「今後もより大きなセキュリティ コミュニティと協力して、脅威に関する調査と情報を共有し、すべての人にとってより良い保護を構築していきます。」

これまでのところ、TikTok アプリが大きなハッキングを受けたことは知られていませんが、一部の批評家は、別の理由でセキュリティ リスクと見なしています。

最近、TikTok の親会社である ByteDance の中国を拠点とするエンジニアが米国のユーザーのデータにアクセスできる範囲について懸念が高まっています。 7月、上院情報委員会の指導者は、米国のユーザーのデータが会社の中国支社から隔てられているという報告が疑問視された後、FTC議長のリナ・カーンにTikTokを調査するよう求めました.

TikTokはからの質問に答えていません ザ・バージ 公開時まで。