CDIC 2023

TikTok แพตช์อุดช่องโหว่ XSS เพียงคลิกเดียวเข้ายึดบัญชีได้

TikTok ได้มอบรางวัลแก่ผู้ค้นพบช่องโหว่ XSS ผ่านแพลฟอตร์มหาบั๊กอย่าง HackerOne โดยร้ายแรงถึงขนาดว่าเหยื่อคลิกทีเดียวก็ถูกยึดบัญชีได้

credit : tiktok.com

ช่องโหว่มี 2 ส่วนคือ

  • ช่องโหว่ Cross-site Scripting (XSS) ในส่วนพารามิเตอร์ของ tiktok.com ซึ่งนำไปสู่การลอบรันโค้ดใน Browser Session ของเหยื่อได้
  • ช่องโหว่ Cross-Site Request Forgery (CSRF) พบบน Endpoint ที่หลอกให้เหยื่อทำการบางอย่างแทนได้

ด้วยเหตุนี้เอง Muhammed Taskiran หรือผู้ค้นพบช่องโหว่จึงได้สร้างสคิร์ปต์ผสานเอา 2 ช่องโหว่ไปใช้งาน CSRF พร้อมกับ inject ผ่านทางพารามิเตอร์ ซึ่งผลปรากฎว่าสามารถเข้ายึดบัญชีเหยื่อได้ทันทีเพียงคลิกเดียว และท้ายที่สุด tiktok ได้มอบผลตอบแทนไปราว 3,860 ดอลล่าร์สหรัฐฯ แล้ว รวมถึงอัปเดตแพตช์ไปตั้งแต่ปลายเดือนกันยายนที่ผ่านมา

ที่มา : https://www.zdnet.com/article/tiktok-patches-reflected-xss-bug-one-click-account-takeover-exploit/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

‘ซิสโก้’ กำหนดนิยามใหม่ “การป้องกันความปลอดภัยทางไซเบอร์” ด้วยพอร์ตฟอลิโอ AI ที่หลากหลายและทรงพลัง [Guest Post]

ซิสโก้ ผู้นำด้านระบบเครือข่ายและการรักษาความปลอดภัยระดับองค์กร เปิดตัว Cisco AI Assistant for Security ซึ่งนับเป็นก้าวสำคัญในการทำให้ AI แพร่หลายใน Security Cloud, Unified ของซิสโก้, …

Sangfor Access Secure ทะยานติดอันดับ Frost & Sullivan Frost Radar for SASE 2023

Sangfor Access Secure ได้ทะยานขึ้นสู่การจัดอันดับของ Frost & Sullivan Frost Radar for SASE 2023 เป็นที่เรียบร้อยแล้ว