Einen Telegram-Anruf anzunehmen reichte, und der Fix war einen Monat früher da als die Meldung

Der Angreifer brauchte nichts Besonderes: ein gewöhnliches Telegram-Konto und eine Nummer zum Anrufen. Wenn Sie abnahmen, erledigte ein Fehler im Code für Sprachanrufe den Rest. Das Sicherheits-Start-up NebuSec meldete das Problem am 26. September an Telegram und ging am 29. Oktober damit an die Öffentlichkeit, zu einem Zeitpunkt, als der Fix bereits einen Monat lang still ausgeliefert wurde.

Die Lücke steckt in Telegrams tgcalls-Bibliothek, in dem Teil, der MediaState-Nachrichten liest, also die kleinen Aktualisierungen, die ein Anruf über Mikrofon, Kamera und Videodrehung verschickt. Lässt man ein optionales Feld weg, liest der Parser über die gültigen Daten hinaus in Speicher, den er nichts angeht. Für sich genommen ist das ein Absturz. Verkettet mit einem Informationsleck und einem Android-Root-Exploit gibt es laut NebuSec dem Angreifer das Telefon: Nachrichten, Mikrofon, Kamera. Betroffen ist alles von 8.6.2 aus dem März 2022 bis 12.10.3, also fast vier Jahre an Versionen.

Telegram hält dagegen, der Bericht habe keine funktionierende Codeausführung aus der Ferne belegt, weshalb keine CVE vergeben und keine Prämie gezahlt wurde. Der Fix landete trotzdem in 12.10.4. Niemand hat die Lücke gegen echte Menschen im Einsatz gesehen.

Wenn Sie Telegram auf einem Android-Telefon haben, öffnen Sie die Einstellungen und sehen Sie unten auf die Versionsnummer; alles unter 12.10.4 braucht ein Update aus dem Play Store. Wenn Sie schon dort sind: Unter Privatsphäre und Sicherheit lässt sich einschränken, wer Sie überhaupt anrufen darf, was die Tür schließt statt nur das Schloss zu flicken. Auf der PC-Seite läuft Tendvanes App-Update-Prüfung über winget und sagt Ihnen, ob Telegram Desktop und der Rest Ihrer Programme hinterherhinken.