محققان امنیت سایبری روز سه‌شنبه یک نقص امنیتی در TikTok را برطرف کردند که به طور بالقوه می‌توانست یک مهاجم را قادر به ایجاد یک پایگاه داده از کاربران برنامه و شماره تلفن‌های مربوط به آنها برای فعالیت‌های مخرب آینده کند.
Check Point Research در تحلیلی که به اشتراک گذاشته است گفت: اگرچه این نقص فقط بر روی کاربرانی تأثیر می‌گذارد که شماره تلفنی را با حساب خود مرتبط کرده‌اند یا با شماره تلفنی وارد سیستم شده‌اند، اما اکسپلویت موفقیت‌آمیز این آسیب‌پذیری می‌تواند منجر به نشت داده و نقض حریم خصوصی شود.
این نقص تازه کشف شده در ویژگی “Find friends” از TikTok قرار دارد که به کاربران امکان می‌دهد مخاطبین خود را با سرویس همگام‌سازی کنند تا افراد بالقوه را برای Follow کردن شناسایی کنند.
مخاطبین از طریق درخواست HTTP به صورت لیستی که متشکل از نام مخاطب هش شده و شماره تلفن مربوطه است در TikTok بارگذاری می‌شوند.
در مرحله بعدی درخواست HTTP دوم را ارسال می‌کند که پروفایل‌های TikTok متصل به شماره تلفن‌های ارسال شده در درخواست قبلی را بازیابی می‌کند. این پاسخ شامل نام نمایه، شماره تلفن، عکس و سایر اطلاعات مربوط به نمایه است.
در حالی که درخواست‌های بارگذاری و همگام‌سازی به ۵۰۰ مخاطب در روز به ازای هر کاربر و هر دستگاه محدود می‌شود، محققان Check Point با گرفتن شناسه دستگاه کوکی‌های جلسه تنظیم شده توسط سرور راهی برای رفع این محدودیت پیدا کردند. یک توکن منحصر به فرد به نام “X-Tt-Token” هنگام ورود به سیستم حساب با پیامک تنظیم می‌شود و کل فرآیند را از یک شبیه‌ساز با Android 6.0.1 شبیه‌سازی می‌کند.
شایان ذکر است که برای درخواست داده از سرور برنامه TikTok، درخواست‌های HTTP باید شامل هدرهای X-Gorgon و X-Khronos برای تأیید سرور باشد که تضمین می‌کند پیام‌ها دستکاری نمی‌شوند.
با اصلاح درخواست‌های HTTP تعداد مخاطبی که مهاجم می‌خواهد همگام سازی کند و دوباره آنها را با امضای پیام به روز شده امضا کند، این نقص امکان خودکارسازی روش بارگذاری و همگام‌سازی مخاطبین در مقیاس وسیع و ایجاد بانک اطلاعاتی از حساب‌ها و شماره تلفن‌های متصل آنها را فراهم می‌کند.
این اولین بار نیست که مشخص شده است این برنامه محبوب اشتراک ویدیو دارای نقاط ضعف امنیتی است.
در ژانویه ۲۰۲۰ محققان Check Point چندین آسیب‌پذیری را در برنامه TikTok کشف کردند که مهاجم می‌توانست از آنها برای گرفتن حساب‌های کاربری و دستکاری محتوای آنها بهره‌برداری کند. از جمله حذف فیلم‌ها، بارگذاری فیلم‌های غیر مجاز، عمومی کردن فیلم‌های خصوصی و افشای اطلاعات شخصی ذخیره شده در حساب.
سپس در ماه آوریل محققان امنیتی Talal Haj Bakry و Tommy Mysk نقص‌هایی را در TikTok آشکار کردند که با هدایت برنامه به سرور جعلی که مجموعه‌ای از فیلم‌های جعلی را در خود جای داده است، برای مهاجمان امکان نمایش فیلم‌های جعلی از جمله آنهایی که از حساب‌های تأیید شده(دارای تیک آبی) هستند را فراهم می‌کرد.
Oded Vanunu، رئیس تحقیق درباره آسیب‌پذیری محصولات در Check Point گفت: انگیزه اصلی ما این‌بار جستجو در حریم خصوصی TikTok بود. ما کنجکاو بودیم که آیا می‌توان از پلتفرم TikTok برای بدست آوردن اطلاعات خصوصی کاربر استفاده کرد. معلوم شد که پاسخ مثبت است، زیرا ما توانستیم چندین مکانیزم محافظت از TikTok را که منجر به نقض حریم خصوصی می‌شوند دور بزنیم.
یک نظر