Décrocher un appel Telegram suffisait, et le correctif était sorti un mois avant qu'on en parle

L'attaquant n'avait besoin de rien de particulier : un compte Telegram ordinaire et un numéro à appeler. Si vous décrochiez, un bug dans le code qui gère les appels vocaux faisait le reste. La jeune société de sécurité NebuSec a signalé le problème à Telegram le 26 septembre et l'a rendu public le 29 octobre, alors que le correctif circulait discrètement depuis un mois.

La faille se situe dans la bibliothèque tgcalls de Telegram, dans la partie qui lit les messages MediaState, ces petites mises à jour qu'un appel envoie au sujet du micro, de la caméra et de la rotation vidéo. Omettez un champ facultatif et l'analyseur lit au-delà des données valides, dans une zone mémoire qu'il n'a aucune raison de toucher. Pris isolément, cela provoque un plantage. Enchaîné avec une fuite d'informations et un exploit de rootage Android, NebuSec affirme que cela donne le téléphone à l'attaquant : messages, micro, caméra. Tout ce qui va de 8.6.2, sortie en mars 2022, jusqu'à 12.10.3 est concerné, soit près de quatre ans de versions.

La position de Telegram est que le rapport n'a pas démontré d'exécution de code à distance fonctionnelle, donc aucun CVE n'a été attribué et aucune prime versée. Le correctif est tout de même entré dans la 12.10.4. Personne n'a vu cette faille utilisée contre de vraies personnes.

Si vous avez Telegram sur un téléphone Android, ouvrez les Paramètres et regardez le numéro de version en bas ; tout ce qui est inférieur à 12.10.4 demande une mise à jour depuis le Play Store. Tant que vous y êtes, Confidentialité et sécurité permet de restreindre qui peut vous appeler, ce qui ferme la porte au lieu de simplement réparer la serrure. Côté PC, le contrôle des mises à jour d'applications de Tendvane passe par winget et vous dira si Telegram Desktop et le reste de vos logiciels installés ont pris du retard.