TikTok es vulnerable a ataques Man-In-The-Middle

Recientemente se ha descubierto que una parte de las peticiones realizadas por la app TikTok a su servidor no se realizan de forma segura a través del protocolo HTTPs.

Tommy Mysk y Talal Haj Bakry han sido los investigadores que han descubierto un problema de seguridad en TikTok que permitiría a usuarios malintencionados interceptar el contenido que visualizan a través de la app.

El problema de seguridad se produce en las descargas de contenido multimedia de la aplicación, como son los videos y las imágenes de perfil de los usuarios. Este fallo no solamente permitiría a un atacante interceptar el contenido descargado por la víctima, sino que también le permitiría modificar dicho contenido.

Los investigadores han publicado un video mostrando una prueba de concepto en la que interceptan y modifican los videos descargados por la app, haciendo que descargue un video que supuestamente ha sido publicado por la cuenta oficial de la propia aplicación, pero que en realidad no es el video original.

Este fallo de seguridad se produce porque TikTok utiliza lo que conocemos como ‘Content Delivery Networks‘ (CDNs), que no es más que una infraestructura formada por múltiples centros de datos repartidos por el mundo que almacenan el contenido, de forma que cuando un usuario de, por ejemplo, España, solicita uno de estos contenidos los descarga desde el centro de datos más cercano. Esto permite reducir el tiempo de descarga, haciendo la navegación más rápida.

Para descargar los contenidos de la CDN, la aplicación de TikTok realiza peticiones HTTP sin cifrar, en lugar de la versión segura y cifrada HTTPs. Aquí es donde encontramos el problema, ya que al no transmitirse el contenido de forma cifrada, un atacante puede interceptar e incluso modificar el contenido.

Además de los problemas de privacidad que introduce, este fallo también abre la puerta a otros problemas de seguridad graves. Si, por ejemplo, el código de procesado de video incluye una vulnerabilidad, esta podría ser explotada por un atacante de forma remota gracias a la posibilidad de modificación del contenido descargado. Lo que podría llegar a proporcionar ejecución remota de código en el peor de los casos

Fuente: Hispasec