В Telegram исправили уязвимость, позволявшую запускать код

В Android-версии Telegram устранили уязвимость, которая позволяла обходить защиту интерактивных виджетов и запускать сторонний код. На проблему обратили внимание специалисты компании V12, опубликовавшие демонстрацию в соцсети X.

В ролике показано, как бот отправляет сообщение с таймером обратного отсчёта, после чего на смартфоне без дополнительных действий открывается калькулятор. Таким способом исследователи продемонстрировали выполнение команд за пределами изолированной среды мессенджера.

Причиной проблемы стали HTML-виджеты, добавленные в Telegram 9 ноября с обновлением Bot API 10.4. Они позволяют встраивать в чаты небольшие приложения с интерактивными элементами и анимацией.

Для запуска JavaScript разработчики предусмотрели среду QuickJS, которая должна ограничивать возможности виджетов и защищать устройство от нежелательных действий. В частности, прямой доступ к интернету для них не предусмотрен. Однако специалисты смогли обойти часть этих ограничений.

Исправление вошло в версию Telegram для Android 13.2.2 (7303). Пользователям рекомендуют обновить приложение. При этом подробности метода обхода защиты пока раскрыты не полностью. Сведений о массовых атаках или подтверждённой краже переписок нет.

Демонстрация появилась всего через два дня после запуска новой функции: виджеты представили 9 ноября, а способ обхода ограничений показали 11 ноября, сообщает "Самара Онлайн 24".