В Telegram обнаружили уязвимость для запуска стороннего кода

Исследователи компании V12 выявили уязвимость в Telegram, которая позволяла обходить защитную среду мессенджера и запускать сторонний код на Android-устройствах. Демонстрацию специалисты опубликовали в соцсети X.

На видео бот отправляет пользователю сообщение с таймером обратного отсчёта. Спустя несколько секунд на смартфоне самостоятельно открывается калькулятор. Подобные демонстрации используют специалисты по кибербезопасности, чтобы показать возможность выполнения кода за пределами предусмотренных ограничений.

Проблема связана с интерактивными HTML-виджетами, появившимися в Telegram 9 ноября вместе с обновлением Bot API 10.4. Функция позволяет встраивать небольшие приложения с кнопками и анимацией непосредственно в чаты.

Для безопасного выполнения JavaScript разработчики предусмотрели изолированную среду QuickJS. В частности, виджеты не должны напрямую обращаться к интернету. Однако исследователям удалось обойти часть этих ограничений.

По имеющейся информации, уязвимость исправили в версии Telegram для Android 13.2.2 (7303), усилив изоляцию виджетов. Пользователям рекомендуют обновить приложение. При этом технические подробности атаки раскрыты не полностью. Данных о массовой эксплуатации уязвимости или подтверждённых случаях кражи переписок не поступало.

Между запуском новой функции и публикацией демонстрации прошло два дня: виджеты представили 9 ноября, а исследователи показали способ обхода защиты 11 ноября, сообщает "Самара Онлайн 24".