Después de las pruebas internas, TikTok que podría haber dado a los atacantes a grandes cantidades de datos personales con un solo clic.
La vulnerabilidad ya ha sido corregida, y no parece que nadie se haya visto afectado por el exploit. Los atacantes podrían haber utilizado esta vulnerabilidad para acceder a los perfiles de , lo que permite a las fuerzas externas publicitar videos privados, enviar mensajes e incluso cargar videos.
El exploit aprovechó la forma en que TikTok maneja el código WebView al omitir la verificación de enlaces profundos. Cuando un de TikTok selecciona un enlace profundo afectado, la URL podría acceder a los puentes de JavaScript que otorgaron a los atacantes funcionalidad en la cuenta. Los puentes de JavaScript continúan representando un riesgo de seguridad en una variedad de aplicaciones, y Microsoft, en una publicación de blog, enfatizó cómo «… la colaboración dentro de la comunidad de seguridad es necesaria para mejorar las defensas del ecosistema digital en general».
El exploit podría haber afectado a más de 1.500 millones de instalaciones de TikTok de Google Play Store.
La vulnerabilidad es en realidad una combinación de varios problemas que, cuando se combinan, podrían dar a los atacantes a estas cuentas. Microsoft detalla todos sus hallazgos y cómo descubrió el exploit en su publicación de blog en profundidad.
Cuando Microsoft notificó al equipo de seguridad de TikTok del problema, «respondieron lanzando una solución para abordar la vulnerabilidad reportada, ahora identificada como CVE-2022-28799, y los s pueden consultar la entrada CVE para obtener más información. Elogiamos la resolución eficiente y profesional del equipo de seguridad de TikTok».
La noticia de este exploit viene inmediatamente después de los frecuentes informes de la excesiva recopilación de datos de TikTok. Con suerte, este parche rápido refleja la seriedad con la que la compañía toma los datos y la privacidad de los s. Microsoft y TikTok recomiendan que verifique dos veces para asegurarse de que está en la última versión de la aplicación para evitar cualquier problema.
