{"id":272412,"date":"2022-09-01T17:30:44","date_gmt":"2022-09-01T15:30:44","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=272412"},"modified":"2022-09-01T17:58:52","modified_gmt":"2022-09-01T15:58:52","slug":"android-tiktok-app-microsoft-findet-1-klick-schwachstelle-die-kontenbernahme-erlaubte","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/09\/01\/android-tiktok-app-microsoft-findet-1-klick-schwachstelle-die-kontenbernahme-erlaubte\/","title":{"rendered":"Android TikTok-App: Microsoft findet 1-Klick-Schwachstelle, die Kontenübernahme erlaubte"},"content":{"rendered":"

[English<\/a>]Microsoft hat eine gef\u00e4hrliche Sicherheitsl\u00fccke in der TikTok-App f\u00fcr Android entdeckt, die es erm\u00f6glichte, Benutzerkonten mit einem einzigen Klick zu kompromittieren. Inzwischen wurde diese Schwachstelle in der TikTok-App f\u00fcr Android geschlossen.<\/p>\n

<\/p>\n

\"\"TikTok<\/a> ist ein vom chinesischen Anbieter Bytedance betriebener Dienst, der kurze Videoclips und Videos f\u00fcr die Lippensynchronisation von Musikvideos bereitstellt. Zudem gibt es zus\u00e4tzlich Funktionen eines sozialen Netzwerks. Die Plattform ist vor allem bei jungen Leuten sehr beliebt, und es sind Apps f\u00fcr Android und iOS verf\u00fcgbar.<\/p>\n

Das Unternehmen ist aufgrund von Bedenken hinsichtlich Daten- und Jugendschutz sowie Spionage und Zensur zugunsten der chinesischen Regierung umstritten. Die US-Regierung unter dem fr\u00fcheren Pr\u00e4sidenten Donald Trump versuchte die chinesische TikTok-App samt Dienst in den USA\u00a0 zu verbannen, sofern das US-Gesch\u00e4ft nicht an einen US-Technologiekonzern verkauft w\u00fcrde. Ich hatte im Blog-Beitrag US-Gesch\u00e4ft von TikTok wohl an unbekannten Bieter verkauft<\/a> \u00fcber das Verkaufsthema berichtet. Es gab die Ank\u00fcndigung des US-Handelsministeriums (Commerce Department), die auf Anordnung des US-Pr\u00e4sidenten den Download der TikTok-App in den US-App-Stores f\u00fcr US-B\u00fcrger verbot. Das Ganze wurde dann durch US-Richter wieder gestoppt.<\/p>\n

Gravierende Schwachstelle in TikTok-App<\/h2>\n

TikTok gibt es als Android-App in zwei Varianten: eine f\u00fcr Ost- und S\u00fcdostasien unter dem Paketnamen com.ss.android.ugc.trill<\/em> und eine andere f\u00fcr die \u00fcbrigen L\u00e4nder unter dem Paketnamen com.zhiliaoapp.musically<\/em>. Im Rahmen einer Schwachstellenanalyse von TikTok haben Microsofts Sicherheitsforscher dann festgestellt, dass beide Varianten der App f\u00fcr Android, die zusammen \u00fcber 1,5 Milliarden Installationen im Google Play Store aufweisen, von einer Schwachstelle betroffen sind.<\/p>\n

Die als hoch bewertete Schwachstelle (CVE-2022-28799) befindet sich im Webkit und hing von der Implementierung der JavaScript-Schnittstellen dieser Komponente in der App ab. WebView erm\u00f6glicht Anwendungen das Laden und Anzeigen von Webseiten und kann mit dem API-Aufruf addJavascriptInterface<\/em> auch eine Br\u00fcckenfunktionalit\u00e4t bereitstellen. Diese Funktion erm\u00f6glicht es JavaScript-Code in einer Webseite bestimmte Java-Methoden einer bestimmten Klasse in der App aufzurufen.<\/p>\n

Das Laden von nicht vertrauensw\u00fcrdigen Webinhalten in WebView mit Objekten auf Anwendungsebene, auf die \u00fcber JavaScript-Code zugegriffen werden kann, macht die Anwendung anf\u00e4llig f\u00fcr JavaScript-Schnittstelleninjektion, was zu Datenlecks, Datenbesch\u00e4digung oder in einigen F\u00e4llen zur Ausf\u00fchrung von beliebigem Code f\u00fchren kann.<\/p>\n

Genau dies kam in der verwundbaren Version der TikTok-App zum Tragen. Klickte bzw. tippte ein Benutzer auf einen sch\u00e4dlichen Link, konnte er auf eine von den Angreifern kontrollierte Webseite umgeleitet werden – eine Pr\u00fcfung des Linkziels fand nicht statt. Auf der Webseite der Angreifer h\u00e4tten diese \u00fcber eine JavaScript-Interfaces-Injection dann auf Authentifizierungs-Tokens des jeweiligen Benutzers zugreifen und dann dessen TikTok-Konto \u00fcbernehmen k\u00f6nnen.<\/p>\n

Mit diesem Schritt w\u00e4re es Angreifern m\u00f6glich gewesen, auf die TikTok-Profile und sensible Informationen der Nutzer zugreifen und diese zu \u00e4ndern. Sie h\u00e4tte beispielsweise private Videos ver\u00f6ffentlichten, Nachrichten verschickten und Videos im Namen der Nutzer hochladen k\u00f6nnen. Nach sorgf\u00e4ltiger Pr\u00fcfung der Auswirkungen informierte ein Microsoft-Sicherheitsforscher TikTok im Februar 2022 \u00fcber die Probleme.<\/p>\n

TikTok hat schnell reagiert und einen Fix f\u00fcr die Schwachstelle CVE-2022-28799 ver\u00f6ffentlicht. TikTok-Nutzern wird empfohlen, sicherzustellen, dass sie die neueste Version der App verwenden. Microsoft hat seine Erkenntnisse zum 31. August 2022 im Security Blog im Beitrag Vulnerability in TikTok Android app could lead to one-click account hijacking<\/a> ver\u00f6ffentlicht.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nDie dunklen Seiten von TikTok<\/a>
\nTikTok: Android-App hat MAC-Adressen zum Tracken gesammelt<\/a>
\nByteDance will Tiktok in den USA verkaufen<\/a>
\nPosse des TikTok-Verbots und die Folgen<\/a>
\nByteDance: Kein Verkauf des TikTok-Algorithmus \u2013 erh\u00e4lt Oracle den Zuschlag auf den Rest?<\/a>
\nUS-Gesch\u00e4ft von TikTok wohl an unbekannten Bieter verkauft<\/a>
\nMicrosoft best\u00e4tigt Pl\u00e4ne zum TikTok-Kauf<\/a>
\nUS-Richter stoppt Verbannung der TikTok-App<\/a>
\nRichter blockiert vor\u00fcbergehend US-Verbot von TikTok-Downloads aus US-App-Stores<\/a>
\nAudiodateien von TikTok-Meeting zeigen, dass US-Nutzerdaten aus China abgerufen wurden<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Microsoft hat eine gef\u00e4hrliche Sicherheitsl\u00fccke in der TikTok-App f\u00fcr Android entdeckt, die es erm\u00f6glichte, Benutzerkonten mit einem einzigen Klick zu kompromittieren. Inzwischen wurde diese Schwachstelle in der TikTok-App f\u00fcr Android geschlossen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[131,1440,426],"tags":[4308,4328],"class_list":["post-272412","post","type-post","status-publish","format-standard","hentry","category-android","category-app","category-sicherheit","tag-android","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/272412","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=272412"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/272412\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=272412"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=272412"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=272412"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}