Microsoft encontró e informó de un fallo de alta gravedad en la aplicación TikTok Android, en febrero, que permitía a los atacantes tomar el control de las cuentas «rápida y silenciosamente» con un solo clic, engañando a los objetivos para que hicieran clic en un enlace malicioso especialmente diseñado.
«Los atacantes podrían haber aprovechado la vulnerabilidad para apropiarse de una cuenta sin que los usuarios se dieran cuenta si un usuario objetivo simplemente hacía clic en un enlace especialmente diseñado», dijo Dimitrios Valsamaras, del equipo de investigación de Microsoft 365 Defender.
«Los agresores podrían, entonces, haber accedido y modificado los perfiles de TikTok de los usuarios y su información sensible, como por ejemplo publicando vídeos privados, enviando mensajes y subiendo vídeos en nombre de los usuarios.»
Al hacer clic en el enlace se expusieron más de 70 métodos de JavaScript que podrían ser abusados por un atacante con la ayuda de un exploit diseñado para secuestrar el WebView de la aplicación TikTok (un componente del sistema Android utilizado por la aplicación vulnerable para mostrar contenido web).
Utilizando los métodos expuestos, los actores de la amenaza podrían acceder o modificar la información privada de los usuarios de TikTok o realizar peticiones HTTP autenticadas.
La vulnerabilidad de seguridad, rastreada como CVE-2022-28799, ya está parcheada desde el lanzamiento de la versión 23.7.3 de TikTok, publicada menos de un mes después de la revelación inicial de Microsoft.
Microsoft afirma que aún no ha encontrado pruebas de que el CVE-2022-28799 haya sido explotado en la naturaleza.
Los usuarios de TikTok pueden defenderse de problemas similares no haciendo clic en enlaces de fuentes no fiables, manteniendo sus aplicaciones actualizadas, instalando únicamente aplicaciones de fuentes oficiales e informando de cualquier comportamiento extraño de la aplicación lo antes posible.