В Telegram выявили уязвимость, позволяющую запускать код

Недавно в Telegram возникли проблемы с безопасностью после внедрения новой функции. Специалисты компании V12 продемонстрировали уязвимость, позволяющую выйти за пределы защитной среды мессенджера и исполнять сторонний код на Android-устройствах. Исследователи выложили демонстрацию в соцсети X. Об этом пишет портал Togliatti24.

На видео пользователь запускает бота, который отправляет сообщение с таймером обратного отсчёта. Через несколько секунд на устройстве самостоятельно открывается калькулятор. В кибербезопасности такие методы применяются для демонстрации выполнения кода вне установленных ограничений.

Проблема возникла из-за работы интерактивных HTML-виджетов, добавленных в Telegram 9 ноября с обновлением Bot API 10.4. Это новшество позволяет ботам интегрировать небольшие приложения с кнопками и анимацией прямо в переписку, без необходимости открытия отдельного окна.

Разработчики предусмотрели специальную изолированную среду QuickJS для защиты смартфонов, где выполняется JavaScript. В частности, виджеты не должны иметь прямого доступа к интернету. Тем не менее, исследователи смогли обойти ограничения этой среды.

По имеющимся данным, проблему устранили в Telegram для Android версии 13.2.2 (7303), дополнительно усилив изоляцию виджетов. Пользователям рекомендуется обновить приложение. Технические детали атаки пока не раскрыты полностью, и сообщений о массовом использовании уязвимости или подтверждённом похищении переписок не поступало.

Примечательно, что между официальным запуском функции и публикацией демонстрации прошло всего два дня. Новые возможности для ботов были представлены 9 ноября, а уже 11 числа исследователи показали, как можно обойти ограничения, предусмотренные разработчиками.

Ранее сообщалось об уязвимости в iPhone, угрожающей паролям и криптокошелькам. Криптобиржа Binance предупредила о том, что вредоносные приложения могут обходить защиту iOS и получать доступ к данным других программ. Пользователям рекомендовали обновить систему и удалять приложения из сомнительных источников.

Больше новостей и эксклюзивных видео смотрите в канале Самара Онлайн 24 в MAX

Читайте также: