В Telegram нашли опасную уязвимость, позволяющую запускать код

Новая функция Telegram обернулась проблемой безопасности практически сразу после запуска. Специалисты компании V12 продемонстрировали уязвимость, позволяющую выйти за пределы защитной среды мессенджера и выполнить посторонний код на Android-смартфоне. Демонстрацию исследователи опубликовали в соцсети X.

На записи пользователь запускает бота, который присылает сообщение с таймером обратного отсчёта. Спустя несколько секунд на телефоне самостоятельно открывается калькулятор. В сфере кибербезопасности подобный приём используют, чтобы показать возможность выполнения кода за пределами предусмотренных ограничений.

Причиной стала проблема в работе интерактивных HTML-виджетов, появившихся в Telegram 9 ноября вместе с обновлением Bot API 10.4. Нововведение позволяет ботам размещать прямо в переписке небольшие приложения с кнопками, анимацией и другими интерактивными элементами. Пользователю не требуется открывать отдельное окно.

Для защиты смартфонов разработчики предусмотрели специальную изолированную среду QuickJS, в которой выполняется JavaScript. В частности, виджеты не должны иметь прямого доступа к интернету. Однако продемонстрированная исследователями уязвимость позволяла обойти ограничения этой среды.

По имеющимся данным, проблему устранили в Telegram для Android версии 13.2.2 (7303), дополнительно усилив изоляцию виджетов. Пользователям рекомендуется обновить приложение. При этом технические подробности атаки пока раскрыты не полностью, а сообщений о массовом использовании уязвимости или подтверждённом похищении переписок нет.

Примечательно, что между официальным появлением функции и публикацией демонстрации прошло всего два дня. Новые возможности для ботов представили 9 ноября, а уже 11-го исследователи показали, как предусмотренные разработчиками ограничения могут быть обойдены.

Ранее Life.ru рассказывал об опасной уязвимости в iPhone, которая может поставить под угрозу пароли и криптокошельки. О проблеме предупредила криптобиржа Binance: вредоносные приложения потенциально способны обходить защиту iOS и получать доступ к данным других программ. Пользователям рекомендовали обновить систему и удалить приложения из сомнительных источников.