Các nhà nghiên cứu an ninh mạng hôm thứ Ba đã tiết lộ một lỗ hổng bảo mật hiện đã được vá trong TikTok có khả năng cho phép kẻ tấn công xây dựng cơ sở dữ liệu về người dùng ứng dụng và số điện thoại liên quan của họ cho hoạt động độc hại trong tương lai.
Mặc dù lỗ hổng này chỉ ảnh hưởng đến những người dùng đã liên kết số điện thoại với tài khoản của họ hoặc đăng nhập bằng số điện thoại, nhưng việc khai thác thành công lỗ hổng có thể dẫn đến rò rỉ dữ liệu và vi phạm quyền riêng tư, Check Point Research cho biết trong một phân tích được chia sẻ với The Tin tặc.
TikTok đã triển khai một bản sửa lỗi để giải quyết thiếu sót sau tiết lộ có trách nhiệm từ các nhà nghiên cứu của Check Point.
Lỗi mới được phát hiện nằm trong tính năng “Tìm bạn” của TikTok, cho phép người dùng đồng bộ hóa danh bạ của họ với dịch vụ để xác định những người tiềm năng có thể theo dõi.
Các liên hệ được tải lên TikTok thông qua yêu cầu HTTP ở dạng danh sách bao gồm tên liên hệ được băm và số điện thoại tương ứng.
Trong bước tiếp theo, ứng dụng sẽ gửi một yêu cầu HTTP thứ hai để truy xuất các cấu hình TikTok được kết nối với các số điện thoại được gửi trong yêu cầu trước đó. Phản hồi này bao gồm tên hồ sơ, số điện thoại, ảnh và thông tin liên quan đến hồ sơ khác.
Mặc dù các yêu cầu liên hệ tải lên và đồng bộ hóa bị giới hạn ở 500 liên hệ mỗi ngày, mỗi người dùng và mỗi thiết bị, nhưng các nhà nghiên cứu của Check Point đã tìm ra cách khắc phục giới hạn này bằng cách nắm giữ mã định danh thiết bị, cookie phiên do máy chủ đặt, một mã duy nhất. mã thông báo có tên “X-Tt-Token” được đặt khi đăng nhập vào tài khoản bằng SMS và mô phỏng toàn bộ quá trình từ trình giả lập chạy Android 6.0.1.
Điều đáng chú ý là để yêu cầu dữ liệu từ máy chủ ứng dụng TikTok, các yêu cầu HTTP phải bao gồm các tiêu đề X-Gorgon và X-Khronos để xác minh máy chủ, điều này đảm bảo rằng các tin nhắn không bị giả mạo.
Nhưng bằng cách sửa đổi các yêu cầu HTTP – số lượng liên hệ mà kẻ tấn công muốn đồng bộ hóa – và ký lại chúng bằng chữ ký thư được cập nhật, lỗ hổng đã có thể tự động hóa quy trình tải lên và đồng bộ hóa các liên hệ trên quy mô lớn và tạo cơ sở dữ liệu. của các tài khoản được liên kết và số điện thoại được kết nối của họ.
Đây không phải là lần đầu tiên ứng dụng chia sẻ video phổ biến này bị phát hiện có điểm yếu về bảo mật.
Trở thành Chuyên gia ứng phó sự cố!
Mở khóa các bí mật để ứng phó với sự cố chống đạn – Nắm vững quy trình 6 Giai đoạn với Asaf Perlman, Trưởng nhóm IR của Cynet!
Đừng bỏ lỡ – Tiết kiệm chỗ ngồi của bạn!
Vào tháng 1 năm 2020, các nhà nghiên cứu của Check Point đã phát hiện ra nhiều lỗ hổng trong ứng dụng TikTok có thể đã bị khai thác để chiếm tài khoản người dùng và thao túng nội dung của họ, bao gồm xóa video, tải lên video trái phép, đặt video “ẩn” riêng tư ở chế độ công khai và tiết lộ thông tin cá nhân được lưu trên tài khoản.
Sau đó vào tháng 4, các nhà nghiên cứu bảo mật Talal Haj Bakry và Tommy Mysk đã phát hiện ra các lỗ hổng trong TikTok khiến những kẻ tấn công có thể hiển thị các video giả mạo, bao gồm cả những video từ các tài khoản đã được xác minh, bằng cách chuyển hướng ứng dụng đến một máy chủ giả mạo lưu trữ một bộ sưu tập các video giả mạo.
Cuối cùng, TikTok đã triển khai quan hệ đối tác tiền thưởng lỗi với HackerOne vào tháng 10 năm ngoái để giúp người dùng hoặc chuyên gia bảo mật đánh dấu các mối lo ngại kỹ thuật với nền tảng. Theo chương trình, các lỗ hổng nghiêm trọng (điểm CVSS 9 – 10) đủ điều kiện nhận khoản thanh toán từ 6.900 đến 14.800 USD.
Oded Vanunu, người đứng đầu bộ phận nghiên cứu lỗ hổng sản phẩm tại Check Point cho biết: “Lần này, động lực chính của chúng tôi là khám phá quyền riêng tư của TikTok. “Chúng tôi tò mò liệu nền tảng TikTok có thể được sử dụng để lấy dữ liệu riêng tư của người dùng hay không. Hóa ra câu trả lời là có, vì chúng tôi có thể bỏ qua nhiều cơ chế bảo vệ của TikTok dẫn đến vi phạm quyền riêng tư.”
“Kẻ tấn công với mức độ thông tin nhạy cảm đó có thể thực hiện một loạt các hoạt động độc hại, chẳng hạn như lừa đảo hoặc các hành động tội phạm khác.”
