Telegram heeft een kwetsbaarheid voor code-uitvoering op afstand (RCE) in zijn Android-app verholpen, volgens een bericht van SecurityOnline van 12 november. Beveiligingsbedrijf V12 plaatste op 11 november een video getiteld Telegram Widgets RCE, met een SHA-256-hash maar zonder technische toelichting. In de demo stuurt een gebruiker /start naar een bot, antwoordt de bot met een afbeelding en opent de Rekenmachine-app op de telefoon enkele seconden later, wat erop wijst dat er code op het apparaat werd uitgevoerd.
Widgets zijn een nieuwere functie van Telegram-bots. De ontwikkelaarsdocumentatie van Telegram beschrijft ze als kleine interactieve blokken in een botbericht, geschreven in HTML en JavaScript en uitgevoerd in de QuickJS-engine in plaats van in een browserweergave. De pagina zegt dat widgets geen netwerktoegang hebben en stapsgewijs worden uitgerold, momenteel werkend in privéchats met een bot in productie. V12 heeft het falende onderdeel niet genoemd; berichten op X wijzen op een QuickJS-bug, wat niet is geverifieerd.
SecurityOnline meldde dat Telegram op X bevestigde dat de bug gisteren is verholpen en dat de oplossing alle gebruikers heeft bereikt. Het voegde toe dat er geen CVE is toegekend, geen aanvallen in het wild zijn gemeld, geen versienummer van de kwetsbare of gepatchte versie is gepubliceerd, en dat onduidelijk is of iOS- of desktopclients getroffen zijn.
Gebruikers wordt aangeraden de Android-app bij te werken en geen onbekende bots te starten.
Volg de markt zelf met de GRATIS tools van AiTraderView: Crypto Cockpit voor grafieken en 75+ indicatoren, Crypto Screener om setups te vinden en Crypto Portfolio om je posities te volgen. Maak gewoon een GRATIS account aan en probeer ze zelf uit!
Bronnen:
⚠️ RISK WARNING & AI DISCLOSURE
- This information is generated by Artificial Intelligence (AI) and complex algorithms. While advanced, these systems can contain errors or inaccuracies and are for educational purposes only.
- Technical analysis provides no guarantees; this information is purely informative.
- All discussed scenarios are hypothetical and do not constitute predictions or expectations.
- Past performance is not an indicator of future results.
- This is not financial advice and is not intended as a call-to-action for the reader.
- No implicit direction is claimed, and no specific behavior of market participants is suggested.