Bastava atender uma chamada no Telegram, e a correção saiu um mês antes de alguém o contar

O atacante não precisava de nada de especial: uma conta vulgar do Telegram e um número para ligar. Se atendesse, um erro no código que trata as chamadas de voz fazia o resto. A empresa de segurança NebuSec comunicou o problema ao Telegram a 26 de setembro e tornou-o público a 29 de outubro, altura em que a correção já circulava discretamente há um mês.

A falha está na biblioteca tgcalls do Telegram, na parte que lê as mensagens MediaState, as pequenas atualizações que uma chamada envia sobre microfone, câmara e rotação de vídeo. Se faltar um campo opcional, o analisador lê para além dos dados válidos, em memória onde não tem nada que ir. Por si só, isso é uma falha de execução. Encadeado com uma fuga de informação e um exploit de root para Android, a NebuSec diz que dá o telemóvel ao atacante: mensagens, microfone, câmara. Está afetado tudo desde a 8.6.2, lançada em março de 2022, até à 12.10.3, quase quatro anos de versões.

A posição do Telegram é que o relatório não demonstrou execução remota de código funcional, pelo que não foi atribuído CVE nem paga recompensa. A correção entrou na mesma na 12.10.4. Ninguém viu isto a ser usado contra pessoas reais.

Se tem o Telegram num telemóvel Android, abra as Definições e veja o número de versão ao fundo; qualquer coisa abaixo de 12.10.4 precisa de uma atualização na Play Store. Já que lá está, em Privacidade e segurança pode limitar quem lhe pode telefonar, o que fecha a porta em vez de remendar a fechadura. No PC, a verificação de atualizações de aplicações do Tendvane usa o winget e diz-lhe se o Telegram Desktop e o resto dos programas instalados estão atrasados.