Bastava rispondere a una chiamata Telegram, e la correzione era uscita un mese prima che se ne parlasse

All'attaccante non serviva nulla di speciale: un normale account Telegram e un numero da chiamare. Se rispondevate, ci pensava un bug nel codice che gestisce le chiamate vocali. La startup di sicurezza NebuSec ha segnalato il problema a Telegram il 26 settembre e lo ha reso pubblico il 29 ottobre, quando la correzione circolava già in silenzio da un mese.

La falla sta nella libreria tgcalls di Telegram, nella parte che legge i messaggi MediaState, i piccoli aggiornamenti che una chiamata invia su microfono, fotocamera e rotazione del video. Se si omette un campo facoltativo, il parser legge oltre i dati validi, in una zona di memoria che non dovrebbe toccare. Da solo è un crash. Concatenato con una fuga di informazioni e un exploit di root per Android, NebuSec sostiene che consegna il telefono all'attaccante: messaggi, microfono, fotocamera. È interessato tutto ciò che va dalla 8.6.2, uscita a marzo 2022, fino alla 12.10.3, quasi quattro anni di versioni.

La posizione di Telegram è che il rapporto non ha dimostrato un'esecuzione di codice da remoto funzionante, quindi non è stato assegnato alcun CVE né pagato alcun premio. La correzione è comunque entrata nella 12.10.4. Nessuno ha visto la falla usata contro persone reali.

Se avete Telegram su un telefono Android, aprite le Impostazioni e guardate il numero di versione in fondo; qualsiasi cosa sotto la 12.10.4 richiede un aggiornamento dal Play Store. Già che ci siete, in Privacy e sicurezza potete limitare chi può chiamarvi, il che chiude la porta invece di rattoppare la serratura. Sul fronte PC, il controllo aggiornamenti app di Tendvane passa da winget e vi dirà se Telegram Desktop e il resto dei vostri programmi sono rimasti indietro.