Досить було відповісти на дзвінок у Telegram, а виправлення вийшло за місяць до розголосу

Зловмиснику не потрібно було нічого особливого: звичайний обліковий запис Telegram і номер, на який подзвонити. Якщо ви відповідали, решту робила помилка в коді, що обробляє голосові дзвінки. Безпековий стартап NebuSec повідомив про проблему Telegram 26 вересня, а оприлюднив її 29 жовтня, коли виправлення вже місяць тихо розходилося.

Вада міститься в бібліотеці tgcalls від Telegram, у частині, що читає повідомлення MediaState, тобто невеликі оновлення, які дзвінок надсилає про мікрофон, камеру та поворот відео. Якщо пропустити одне необов'язкове поле, аналізатор читає за межами коректних даних, у пам'ять, до якої не має стосунку. Саме по собі це аварійне завершення. У зв'язці з витоком інформації та експлойтом для отримання прав root на Android, за словами NebuSec, це віддає зловмиснику телефон: повідомлення, мікрофон, камеру. Вразливі всі версії від 8.6.2, що вийшла в березні 2022 року, до 12.10.3, тобто майже чотири роки випусків.

Позиція Telegram полягає в тому, що звіт не продемонстрував робочого віддаленого виконання коду, тож ідентифікатор CVE не присвоїли і винагороду не виплатили. Виправлення все одно увійшло до 12.10.4. Ніхто не бачив, щоб цю ваду застосовували проти реальних людей.

Якщо у вас Telegram на телефоні з Android, відкрийте Налаштування і подивіться номер версії внизу; усе, що нижче за 12.10.4, потребує оновлення з Play Store. Заодно в розділі Конфіденційність і безпека можна обмежити, хто взагалі може вам дзвонити, що зачиняє двері, а не латає замок. На боці ПК перевірка оновлень програм у Tendvane працює через winget і покаже, чи не відстали Telegram Desktop та решта встановленого у вас софту.