Уязвимость в мессенджере могла дать хакерам доступ к Android-смартфону
В Telegram для Android была обнаружена уязвимость, позволяющая злоумышленникам получить контроль над устройством после ответа на голосовой вызов. Об этом пишет сайт Самара онлайн 24.
Исправление проблемы было выпущено в версии 12.10.4 в конце сентября, однако информация о ней стала известна только 29 октября.
Уязвимость затрагивает версии мессенджера с 8.6.2 по 12.10.3, выпущенные с марта 2022 года по сентябрь 2026 года. Проверить актуальность своей версии можно в настройках приложения; безопасной считается версия 12.10.4 и выше.
Если приложение не обновлялось долгое время, устройство остается под угрозой: злоумышленнику достаточно позвонить пользователю, пояснил сооснователь и гендиректор NebuSec Этен Зу.
Ошибка не предоставляет полного доступа к системе. Вредоносный код сначала выходит из Telegram в Android, а затем другая уязвимость операционной системы позволяет получить контроль над устройством, включая доступ к переписке, микрофону и камере.
Специалисты NebuSec подтвердили эту схему в частных звонках на телефонах с процессорами ARM64. Данных о том, что проблема затрагивает iOS, компьютеры или групповые звонки, не имеется.
Причиной уязвимости стала ошибка в коде, который обрабатывает служебные сообщения MediaState о состоянии микрофона, камеры и повороте видео. При отсутствии определенного поля программа обращалась к памяти, к которой не должна была обращаться. Аналогичный недочет был устранен в общей библиотеке для звонков tgcalls 21 апреля.
