Обнаруженная в Telegram для Android ошибка позволяла получить контроль над устройством после ответа на голосовой вызов. Патч вышел в версии 12.10.4 еще в конце сентября, однако публично о проблеме сообщили только 29 октября, пишет The Hacker News. Об этом сообщает портал Вести.
Речь идет о версиях мессенджера с 8.6.2 по 12.10.3, которые выпускались с марта 2022 года по сентябрь 2026-го. Проверить свою версию можно внизу страницы настроек, безопасной считается 12.10.4 и новее. Если приложение давно не обновлялось, аппарат остается под угрозой: злоумышленнику достаточно позвонить пользователю, пояснил сооснователь и гендиректор NebuSec Этен Зу.
Сама по себе ошибка не дает полного доступа к системе. Вредоносный код сначала выходит из Telegram в Android, после чего другая уязвимость операционной системы позволяет получить контроль над устройством, включая переписку, микрофон и камеру. Специалисты NebuSec подтвердили такую схему в частных звонках на телефонах с процессорами ARM64. Сведений о том, что проблема касается iOS, компьютеров и групповых звонков, нет.
Причиной стала ошибка в коде, обрабатывающем служебные сообщения MediaState о состоянии микрофона, камеры и повороте видео. При отсутствии поля программа обращалась к памяти, к которой обращаться не должна. Аналогичный недочет устранили в общей библиотеке для звонков tgcalls 21 апреля.
Ранее эксперт уже рассказывал, как защититься при использовании вредоносной версии Telegram.