Telegram исправил уязвимость удалённого выполнения кода в своём приложении для Android, согласно отчёту SecurityOnline, опубликованному 12 ноября. Компания по безопасности V12 разместила 11 ноября видео под названием «Telegram Widgets RCE» с хешем SHA-256, но без технического описания. В демонстрации пользователь отправляет боту /start, бот отвечает изображением, и через несколько секунд на телефоне открывается приложение «Калькулятор», что говорит о выполнении кода на устройстве.
Виджеты — новая функция ботов Telegram. Документация для разработчиков Telegram описывает их как небольшие интерактивные блоки внутри сообщения бота, написанные на HTML и JavaScript и выполняемые в движке QuickJS, а не в браузерном представлении. На странице сказано, что у виджетов нет доступа к сети и что они внедряются поэтапно, пока работая в личных чатах с ботом в производственной среде. V12 не назвала уязвимый компонент; посты в X указывают на ошибку QuickJS, что не подтверждено.
SecurityOnline сообщил, что Telegram подтвердил в X, что ошибка «была исправлена вчера» и что исправление дошло до всех пользователей. Издание добавило, что CVE не присвоен, об атаках в реальных условиях не сообщалось, номер уязвимой или исправленной версии не опубликован, а затронуты ли клиенты для iOS или десктопа, неясно.
Пользователям следует обновить приложение для Android и не запускать незнакомых ботов.
Следите за рынком сами с помощью БЕСПЛАТНЫХ инструментов AiTraderView: Crypto Cockpit для графиков и более 75 индикаторов, Crypto Screener для поиска сетапов и Crypto Portfolio для отслеживания ваших активов. Просто создайте БЕСПЛАТНЫЙ аккаунт и попробуйте сами!
Источники:
⚠️ RISK WARNING & AI DISCLOSURE
- This information is generated by Artificial Intelligence (AI) and complex algorithms. While advanced, these systems can contain errors or inaccuracies and are for educational purposes only.
- Technical analysis provides no guarantees; this information is purely informative.
- All discussed scenarios are hypothetical and do not constitute predictions or expectations.
- Past performance is not an indicator of future results.
- This is not financial advice and is not intended as a call-to-action for the reader.
- No implicit direction is claimed, and no specific behavior of market participants is suggested.