Telegram для Android: уязвимость позволяла выполнять код при звонке

Компания NebuSec обнаружила опасную уязвимость в приложении Telegram для Android, которая позволяла злоумышленникам получить полный контроль над устройством жертвы. Для проведения атаки было достаточно совершить голосовой вызов в мессенджере и дождаться ответа пользователя.

• Уязвимость обнаружена специалистами стартапа NebuSec.
• Для атаки требовался обычный аккаунт в Telegram и цепочка из трех багов.
• Проблема была успешно устранена в версии приложения 12.10.4 в конце сентября.
• Официальное раскрытие информации состоялось 29 октября.

Детали обнаруженной уязвимости

По данным исследователей безопасности из NebuSec, сама по себе уязвимость требовала объединения с двумя другими программными ошибками. Только в составе такой цепочки эксплойт мог привести к полной компрометации смартфона жертвы через обычный голосовой вызов.

Реакция разработчиков и обновление

Команда Telegram оперативно отреагировала на отчет исследователей. Уязвимость была полностью закрыта в версии мессенджера 12.10.4, которая вышла в конце сентября. Стартап NebuSec обнародовал технические подробности инцидента 29 октября.

Что это значит для пользователей

Пользователям Android-устройств настоятельно рекомендуется проверить версию своего приложения Telegram и обновить его до актуальной сборки. Своевременное обновление ПО помогает защитить смартфон от сложных атак, использующих цепочки уязвимостей.