Исследователи показали обход защиты Telegram на Android
Специалисты компании V12 продемонстрировали уязвимость в Telegram, которая позволяет выполнять посторонний код на Android-смартфоне. Демонстрация была опубликована в соцсети X, сообщается 13 ноября. Об этом сообщает издание Life.ru.
На записи видно, как пользователь запускает бота, который отправляет сообщение с таймером обратного отсчёта. Через несколько секунд на устройстве самостоятельно открывается калькулятор. Такой приём в кибербезопасности используют для наглядной демонстрации возможности выполнения кода за пределами ограничений.
Причиной проблемы стала работа интерактивных HTML-виджетов, появившихся в Telegram 9 ноября вместе с обновлением Bot API 10.4. Новая функция позволяет ботам размещать прямо в переписке небольшие приложения с кнопками и анимацией, не требуя от пользователя открывать отдельное окно.
Для защиты смартфонов разработчики предусмотрели изолированную среду QuickJS, в которой выполняется JavaScript. Виджеты не должны иметь прямого доступа к интернету, однако исследователям удалось обойти эти ограничения.
По имеющимся данным, проблема уже устранена в Telegram для Android версии 13.2.2 (7303), где усилена изоляция виджетов. Пользователям рекомендуют обновить приложение. Технические подробности атаки пока раскрыты не полностью, а сообщений о массовом использовании уязвимости или подтверждённом похищении переписок нет.
Между официальным появлением функции и публикацией демонстрации прошло всего два дня: новые возможности для ботов представили 9 ноября, а уже 11-го исследователи показали, как можно обойти предусмотренные ограничения.
