В Telegram обнаружили уязвимость, позволяющую выполнять код
После запуска новой функции Telegram возникли проблемы с безопасностью. Специалисты компании V12 продемонстрировали уязвимость, которая позволяет выйти за пределы защитной среды мессенджера и выполнить сторонний код на Android-смартфоне. Исследователи опубликовали демонстрацию в соцсети X. Об этом сообщает портал Life.ru.
На видео пользователь запускает бота, который отправляет сообщение с таймером обратного отсчёта. Через несколько секунд на устройстве самостоятельно открывается калькулятор. В кибербезопасности подобные методы используются для демонстрации возможности выполнения кода за пределами установленных ограничений.
Проблема возникла из-за работы интерактивных HTML-виджетов, которые были добавлены в Telegram 9 ноября с обновлением Bot API 10.4. Это нововведение позволяет ботам размещать небольшие приложения с кнопками и анимацией прямо в переписке, без необходимости открывать отдельное окно.
Разработчики предусмотрели специальную изолированную среду QuickJS для защиты смартфонов, где выполняется JavaScript. В частности, виджеты не должны иметь прямого доступа к интернету. Однако исследователи смогли обойти ограничения этой среды.
По имеющимся данным, проблему устранили в Telegram для Android версии 13.2.2 (7303), дополнительно усилив изоляцию виджетов. Пользователям рекомендуется обновить приложение. Технические детали атаки пока не раскрыты полностью, и сообщений о массовом использовании уязвимости или подтверждённом похищении переписок не поступало.
Примечательно, что между официальным запуском функции и публикацией демонстрации прошло всего два дня. Новые возможности для ботов были представлены 9 ноября, а уже 11 числа исследователи продемонстрировали, как можно обойти ограничения, предусмотренные разработчиками.
Ранее сообщалось об уязвимости в iPhone, угрожающей паролям и криптокошелькам. Криптобиржа Binance предупредила о том, что вредоносные приложения могут обходить защиту iOS и получать доступ к данным других программ. Пользователям рекомендовали обновить систему и удалять приложения из сомнительных источников.
