Con un click su un link perdi il tuo account TikTok. Lo ha scoperto Microsoft

Redazione RHC : 3 Settembre 2022 09:00

Gli esperti Microsoft hanno affermato che nel febbraio di quest’anno hanno scoperto una grave vulnerabilità (CVE-2022-28799) nell’applicazione TikTok per Android. Il bug ha consentito agli aggressori di impossessarsi istantaneamente degli account di altre persone, subito dopo che la vittima ha fatto clic su uno speciale collegamento dannoso.

“Gli aggressori potrebbero sfruttare la vulnerabilità per impossessarsi di un account all’insaputa dell’utente se l’obiettivo ha semplicemente fatto clic su un collegamento appositamente predisposto”

hanno affermato gli esperti di Microsoft 365 Defender. 

Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

Creare Un Sistema Ai Di Visual Object Tracking (Hands on)

Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake

Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?

Come Hackerare Un Sito WordPress (Hands on)

Il Cyberbullismo Tra Virtuale E Reale

Come Entrare Nel Dark Web In Sicurezza (Hands on)

Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

“Gli aggressori potrebbero quindi accedere a informazioni sensibili e modificare i profili degli utenti di TikTok, come pubblicare video privati, inviare messaggi e caricare video per conto della vittima”.

Il problema riguardava due versioni dell’app Android: com.ss.android.ugc.trill (per utenti nell’Asia orientale e sudorientale) e com.zhiliaoapp.musically (per utenti in paesi diversi dall’India, dove TikTok è vietato). Insieme, le applicazioni vulnerabili hanno rappresentato oltre 1,5 miliardi di installazioni.

La vulnerabilità era associata all’elaborazione dei cosiddetti deeplink, collegamenti ipertestuali speciali che consentono alle applicazioni di aprire determinate risorse in altre applicazioni, anziché indirizzare gli utenti al sito.

“Un URL appositamente predisposto (deeplink senza convalida) potrebbe far sì che com.zhiliaoapp.musically WebView carichi un sito arbitrario. E questo ha permesso all’attaccante di utilizzare l’interfaccia JavaScript per impossessarsi dell’account con un solo clic”

afferma il rapporto di Microsoft.

Cioè, la vulnerabilità consente di aggirare le restrizioni che gli host non attendibili dovrebbero rifiutare e consentire il caricamento di qualsiasi sito tramite una visualizzazione Web a scelta dell’attaccante.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli