TikTok修补允许骇客摆布用户内容的安全漏洞
报价宝综合消息TikTok修补允许骇客摆布用户内容的安全漏洞
Check Point展示针对TikTok漏洞执行攻击的影片。（翻摄自https://research.checkpoint.com/2020/tik-or-tok-is-tiktok-secure-enough/）
资安业者Check Point在本周公布短影片程式TikTok的众多安全漏洞，这些漏洞允许骇客取得TikTok账号并摆布内容、删除影片、任意上传影片、让私有影片公开，也能取得用户账号的个人资讯，TikTok母公司字节跳动在去年11月收到Check Point的通知后，已于新版TikTok修补了相关漏洞。
字节跳动在全球发表了两款短影片程式，在中国为抖音，在海外为TikTok，在全球逾150个国家发行的TikTok快速成为全球年轻人风行的程式，估计已有超过15亿用户。然而，美国海军及陆军近来以TikTok搜集装置资料造成安全风险为由，先后封锁了TikTok程式，而Check Point的研究则透露出，TikTok的安全危机不仅于此。
Check Point指出，TikTok的官网有一项功能是让使用者传送简讯给自己以下载TikTok程式，但它存在一个漏洞可让任何人代替TikTok传送简讯至任意电话号码，并在简讯中置入骇客所选择的网址，于是骇客就能将使用者导至恶意网站，进而执行跨站指令码（XSS）、跨站请求伪造（CSRF）或是曝露机密资料等攻击行动。
相关的攻击行动将允许骇客删除TikTok用户的影片，或是擅自建立影片，并把自己变成受害者的粉丝，伺机将受害者的私有影片变成公开，或是利用XSS攻击或其它方法取得受害者的机密资讯。
字节跳动是在去年11月收到Check Point的通知，并在最新的TikTok版本修补了安全漏洞，同时也感谢Check Point的协助。
