Era de ajuns să răspunzi la un apel Telegram, iar remedierea apăruse cu o lună înainte să afle cineva

Atacatorul nu avea nevoie de nimic deosebit: un cont Telegram obișnuit și un număr pe care să sune. Dacă răspundeai, restul îl făcea o eroare din codul care gestionează apelurile vocale. Startupul de securitate NebuSec a raportat problema către Telegram pe 26 septembrie și a făcut-o publică pe 29 octombrie, moment în care remedierea se distribuia deja discret de o lună.

Breșa se află în biblioteca tgcalls a Telegram, în partea care citește mesajele MediaState, adică micile actualizări pe care un apel le trimite despre microfon, cameră și rotația imaginii. Dacă lipsește un câmp opțional, analizorul citește dincolo de datele valide, într-o zonă de memorie care nu îl privește. De una singură, asta înseamnă o blocare. Înlănțuită cu o scurgere de informații și un exploit de root pentru Android, NebuSec spune că îi dă atacatorului telefonul: mesaje, microfon, cameră. Este afectat tot ce ține de la 8.6.2, lansată în martie 2022, până la 12.10.3, adică aproape patru ani de versiuni.

Poziția Telegram este că raportul nu a demonstrat o execuție de cod la distanță funcțională, așa că nu s-a alocat niciun CVE și nu s-a plătit nicio recompensă. Remedierea a intrat oricum în 12.10.4. Nimeni nu a văzut breșa folosită împotriva unor oameni reali.

Dacă ai Telegram pe un telefon Android, deschide Setări și uită-te la numărul versiunii din partea de jos; orice sub 12.10.4 are nevoie de o actualizare din Play Store. Cât ești acolo, din Confidențialitate și securitate poți limita cine te poate suna, ceea ce închide ușa în loc să cârpească încuietoarea. Pe partea de PC, verificarea actualizărilor de aplicații din Tendvane merge prin winget și îți spune dacă Telegram Desktop și restul programelor instalate au rămas în urmă.