TikTok ha solucionado dos vulnerabilidades que podrían haber permitido a los atacantes tomar control de las cuentas con un solo clic cuando estaban unidas para los usuarios que se registraron a través de aplicaciones de terceros. Taskiran informó a TikTok sobre la cadena de ataques de adquisición de cuentas el 26 de agosto de 2020, y la compañía resolvió los problemas y otorgó al cazador de errores una recompensa de $ 3,860 el 18 de septiembre.

TikTok corrige errores que permitían tomar el control de la cuenta con un clic

TikTok ha solucionado dos vulnerabilidades que podrían haber permitido a los atacantes hacerse cargo de las cuentas con un solo clic cuando estaban unidas para los usuarios que se registraron a través de aplicaciones de terceros.

La plataforma de redes sociales propiedad de ByteDance, con sede en Beijing, se utiliza para compartir videos móviles en bucle de formato corto de 3 a 60 segundos.

La aplicación de Android de TikTok tiene actualmente más de mil millones de instalaciones de acuerdo con las estadísticas oficiales de Google Play Store y ha cruzado la marca de 2 mil millones de instalaciones en todas las plataformas móviles en abril de 2020 según las estimaciones de Sensor Tower Store Intelligence.

• https://play.google.com/store/apps/details?id=com.zhiliaoapp.musically

Encontrado a través de pruebas de fuzz

El cazarrecompensas de errores alemán Muhammed Taskiran descubrió un error de seguridad reflejado en secuencias de comandos entre sitios (XSS), también conocido como XSS no persistente, en un parámetro de URL de TikTok que refleja su valor sin la desinfección adecuada.

• Cross-Site-Scripting on www.tiktok.com and m.tiktok.com leading to Data Exfiltration -https://hackerone.com/reports/968082

Taskiran encontró el XSS reflejado que también podría haber llevado a la exfiltración de datos mientras probaba fuzz los dominios www.tiktok.com y m.tiktok.com de la compañía.

También encontró un punto final de la API de TikTok vulnerable a los ataques de falsificación de solicitudes entre sitios (CSRF) que hicieron posible cambiar las contraseñas de las cuentas de los usuarios que se registraron utilizando aplicaciones de terceros.

"El punto final me permitió establecer una nueva contraseña en las cuentas que habían utilizado aplicaciones de terceros para registrarse", dijo Taskiran.

"Combiné ambas vulnerabilidades creando una carga útil simple de JavaScript, activando el CSRF, que inyecté en el parámetro de URL vulnerable de antes, para archivar una 'toma de control de cuenta con un clic'".

Taskiran informó a TikTok sobre la cadena de ataques de adquisición de cuentas el 26 de agosto de 2020, y la compañía resolvió los problemas y otorgó al cazador de errores una recompensa de $ 3,860 el 18 de septiembre.

Más fallas de secuestro de cuentas corregidas el año pasado

TikTok también abordó un lote de vulnerabilidades de seguridad en su infraestructura, lo que permitió a posibles atacantes secuestrar cuentas para manipular los videos de los usuarios y robar su información.

Los problemas de seguridad fueron revelados a ByteDance por investigadores de Check Point a fines de noviembre de 2019, y la compañía corrigió los errores en un mes.

Los atacantes podrían haber utilizado el sistema de SMS de TikTok para explotar las vulnerabilidades para cargar videos no autorizados y eliminar, mover los videos de los usuarios de privados a públicos y robar datos personales confidenciales.

"TikTok se compromete a proteger los datos del usuario", dijo en ese momento el ingeniero de seguridad de TikTok, Luke Deshotels. "Como muchas organizaciones, alentamos a los investigadores de seguridad responsables a que nos revelen de manera privada las vulnerabilidades de día cero".

Fuentes:

https://www.bleepingcomputer.com/news/security/tiktok-fixes-bugs-allowing-account-takeover-with-one-click/