Wystarczyło odebrać połączenie w Telegramie, a poprawka wyszła miesiąc przed ujawnieniem

Atakujący nie potrzebował niczego szczególnego: zwykłego konta Telegram i numeru, pod który zadzwoni. Jeśli odebrałeś, resztę załatwiał błąd w kodzie obsługującym połączenia głosowe. Startup bezpieczeństwa NebuSec zgłosił problem Telegramowi 26 września, a upublicznił go 29 października, gdy poprawka po cichu rozchodziła się już od miesiąca.

Luka siedzi w bibliotece tgcalls Telegrama, w części czytającej komunikaty MediaState, czyli drobne aktualizacje, które połączenie wysyła o mikrofonie, kamerze i obrocie obrazu. Wystarczy pominąć jedno opcjonalne pole, a parser czyta poza poprawnymi danymi, w pamięć, która go nie dotyczy. Samo w sobie kończy się awarią. Połączone z wyciekiem informacji i exploitem roota na Androida daje, zdaniem NebuSec, atakującemu cały telefon: wiadomości, mikrofon, kamerę. Dotyczy to wszystkiego od 8.6.2, wydanej w marcu 2022 roku, po 12.10.3, czyli niemal czterech lat wersji.

Stanowisko Telegrama jest takie, że zgłoszenie nie wykazało działającego zdalnego wykonania kodu, więc nie przyznano identyfikatora CVE ani nagrody. Poprawka i tak weszła do 12.10.4. Nikt nie widział, by lukę wykorzystano przeciwko prawdziwym ludziom.

Jeśli masz Telegrama na telefonie z Androidem, otwórz Ustawienia i spójrz na numer wersji na dole; wszystko poniżej 12.10.4 wymaga aktualizacji ze Sklepu Play. Przy okazji w Prywatności i bezpieczeństwie możesz ograniczyć, kto w ogóle może do ciebie dzwonić, co zamyka drzwi zamiast łatać zamek. Po stronie peceta sprawdzanie aktualizacji aplikacji w Tendvane działa przez winget i powie ci, czy Telegram Desktop i reszta zainstalowanych programów zostały w tyle.