Telegram a corrigé une faille d’exécution de code à distance dans son application Android, selon un article publié par SecurityOnline le 12 novembre. La société de sécurité V12 a mis en ligne le 11 novembre une vidéo intitulée « Telegram Widgets RCE », accompagnée d’un hash SHA-256 mais sans analyse technique. Dans la démonstration, un utilisateur envoie /start à un bot, le bot répond par une image, et l’application Calculatrice du téléphone s’ouvre quelques secondes plus tard, ce qui suggère que du code s’est exécuté sur l’appareil.
Les widgets sont une fonction récente des bots Telegram. La documentation développeur de Telegram les décrit comme de petits blocs interactifs dans un message de bot, écrits en HTML et JavaScript et exécutés dans le moteur QuickJS plutôt que dans une vue de navigateur. La page précise que les widgets n’ont pas d’accès réseau et sont déployés par étapes, fonctionnant actuellement dans les conversations privées avec un bot en production. V12 n’a pas nommé le composant défaillant ; des posts sur X évoquent un bug de QuickJS, ce qui n’est pas vérifié.
SecurityOnline rapporte que Telegram a confirmé sur X que le bug « a été corrigé hier » et que le correctif a atteint tous les utilisateurs. L’article ajoute qu’aucun CVE n’a été attribué, qu’aucune attaque dans la nature n’a été signalée, qu’aucun numéro de version vulnérable ou corrigée n’a été publié, et qu’on ignore si les clients iOS ou bureau sont concernés.
Les utilisateurs devraient mettre à jour l’application Android et éviter de démarrer des bots inconnus.
Suivez le marché vous-même avec les outils GRATUITS d’AiTraderView : Crypto Cockpit pour les graphiques et plus de 75 indicateurs, Crypto Screener pour trouver des setups et Crypto Portfolio pour suivre vos positions. Il vous suffit de créer un compte GRATUIT et de les essayer vous-même !
Sources:
⚠️ RISK WARNING & AI DISCLOSURE
- This information is generated by Artificial Intelligence (AI) and complex algorithms. While advanced, these systems can contain errors or inaccuracies and are for educational purposes only.
- Technical analysis provides no guarantees; this information is purely informative.
- All discussed scenarios are hypothetical and do not constitute predictions or expectations.
- Past performance is not an indicator of future results.
- This is not financial advice and is not intended as a call-to-action for the reader.
- No implicit direction is claimed, and no specific behavior of market participants is suggested.