{"id":342974,"date":"2022-09-01T06:58:29","date_gmt":"2022-09-01T08:58:29","guid":{"rendered":"https:\/\/teknomers.com\/fr\/microsoft-decouvre-un-grave-exploit-one-click-pour-lapplication-android-tiktok\/"},"modified":"2022-09-01T06:58:31","modified_gmt":"2022-09-01T08:58:31","slug":"microsoft-decouvre-un-grave-exploit-one-click-pour-lapplication-android-tiktok","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/microsoft-decouvre-un-grave-exploit-one-click-pour-lapplication-android-tiktok\/","title":{"rendered":"Microsoft d\u00e9couvre un grave exploit \u00ab One-Click \u00bb pour l’application Android TikTok"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Microsoft a d\u00e9voil\u00e9 mercredi les d\u00e9tails d’une “vuln\u00e9rabilit\u00e9 de haute gravit\u00e9” d\u00e9sormais corrig\u00e9e dans l’application TikTok pour Android qui pourrait permettre aux attaquants de prendre le contr\u00f4le des comptes lorsque les victimes cliquent sur un lien malveillant.<\/p>\n

“Les attaquants auraient pu exploiter la vuln\u00e9rabilit\u00e9 pour d\u00e9tourner un compte \u00e0 l’insu des utilisateurs si un utilisateur cibl\u00e9 cliquait simplement sur un lien sp\u00e9cialement con\u00e7u”, Dimitrios Valsamaras de l’\u00e9quipe de recherche Microsoft 365 Defender. a dit<\/a> dans un \u00e9crit.<\/p>\n

L’exploitation r\u00e9ussie de la faille aurait pu permettre \u00e0 des acteurs malveillants d’acc\u00e9der et de modifier les profils TikTok et les informations sensibles des utilisateurs, conduisant \u00e0 l’exposition non autoris\u00e9e de vid\u00e9os priv\u00e9es. Les attaquants pourraient \u00e9galement avoir abus\u00e9 du bogue pour envoyer des messages et t\u00e9l\u00e9charger des vid\u00e9os au nom des utilisateurs.<\/p>\n

\"La<\/a><\/div>\n

Le probl\u00e8me, r\u00e9solu dans la version 23.7.3, affecte deux variantes de son application Android com.ss.android.ugc.trill (pour les utilisateurs d’Asie de l’Est et du Sud-Est) et com.zhiliaoapp.musically (pour les utilisateurs d’autres pays, \u00e0 l’exception de l’Inde, o\u00f9 c’est interdit). Combin\u00e9es, les applications comptent plus de 1,5 milliard d’installations entre elles.<\/p>\n

\"Application<\/div>\n

Suivi comme CVE-2022-28799<\/a> (score CVSS\u00a0: 8,8), la vuln\u00e9rabilit\u00e9 est li\u00e9e \u00e0 la gestion par l’application de ce qu’on appelle un lien profond, un lien hypertexte sp\u00e9cial qui permet aux applications d’ouvrir une ressource sp\u00e9cifique dans une autre application install\u00e9e sur l’appareil plut\u00f4t que de diriger les utilisateurs vers un site Web.<\/p>\n

“Une URL sp\u00e9cialement con\u00e7ue (lien profond non valid\u00e9) peut forcer la WebView com.zhiliaoapp.musically \u00e0 charger un site Web arbitraire”, selon un avis sur la faille. “Cela peut permettre \u00e0 un attaquant d’exploiter une interface JavaScript attach\u00e9e pour la prise de contr\u00f4le en un seul clic.”<\/p>\n

\"Application<\/div>\n

En termes simples, la faille permet de contourner les restrictions des applications pour rejeter les h\u00f4tes non fiables et charger n’importe quel site Web du choix de l’attaquant via le syst\u00e8me Android. WebView<\/a>un m\u00e9canisme permettant d’afficher du contenu Web sur d’autres applications.<\/p>\n

\"La<\/a><\/div>\n

“Le filtrage a lieu c\u00f4t\u00e9 serveur et la d\u00e9cision de charger ou de rejeter une URL est bas\u00e9e sur la r\u00e9ponse re\u00e7ue d’une requ\u00eate HTTP GET particuli\u00e8re”, a expliqu\u00e9 Valsamaras, ajoutant que l’analyse statique “indique qu’il est possible de contourner le serveur -c\u00f4t\u00e9 v\u00e9rification en ajoutant deux param\u00e8tres suppl\u00e9mentaires au lien profond.”<\/p>\n

Une cons\u00e9quence de cet exploit con\u00e7u pour d\u00e9tourner WebView pour charger des sites Web escrocs est qu’il pourrait permettre \u00e0 l’adversaire d’invoquer plus de 70 points de terminaison TikTok expos\u00e9s, compromettant ainsi l’int\u00e9grit\u00e9 du profil d’un utilisateur. Il n’y a aucune preuve que le bogue a \u00e9t\u00e9 transform\u00e9 en arme dans la nature.<\/p>\n

“Du point de vue de la programmation, l’utilisation d’interfaces JavaScript pr\u00e9sente des risques importants”, a not\u00e9 Microsoft. “Une interface JavaScript compromise peut potentiellement permettre aux attaquants d’ex\u00e9cuter du code en utilisant l’ID et les privil\u00e8ges de l’application.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Microsoft a d\u00e9voil\u00e9 mercredi les d\u00e9tails d’une “vuln\u00e9rabilit\u00e9 de haute gravit\u00e9” d\u00e9sormais corrig\u00e9e dans l’application TikTok pour Android qui pourrait permettre aux attaquants de prendre le contr\u00f4le des comptes lorsque les victimes cliquent sur un lien malveillant. “Les attaquants auraient pu exploiter la vuln\u00e9rabilit\u00e9 pour d\u00e9tourner un compte \u00e0 l’insu des utilisateurs si un utilisateur […]<\/p>\n","protected":false},"author":1,"featured_media":342975,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[8738,4168,4158,4165,4161,12680,3010,11184,4157,4159,4171,4170,838,4167,8362,4160,4163,4162,105162,185,4172,4169,12755,4166,4164],"class_list":["post-342974","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-android","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-decouvre","tag-exploit","tag-grave","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-lapplication","tag-logiciel-malveillant-de-ransomware","tag-microsoft","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-oneclick","tag-pour","tag-securite-informatique","tag-securite-internet","tag-tiktok","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/342974","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=342974"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/342974\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/342975"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=342974"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=342974"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=342974"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}