Специалисты показали, как обойти защиту Telegram на Android

В Telegram обнаружили проблему безопасности, связанную с новыми интерактивными виджетами. Специалисты компании V12 продемонстрировали, что с их помощью можно выйти за пределы изолированной среды мессенджера и выполнить сторонний код на Android-смартфоне.

В опубликованном в соцсети X ролике бот отправляет сообщение с обратным отсчётом, после завершения которого на устройстве автоматически запускается калькулятор. Так исследователи продемонстрировали возможность обхода защитных ограничений.

Уязвимость появилась в связи с внедрением HTML-виджетов 9 ноября. Нововведение, представленное в Bot API 10.4, позволяет запускать мини-приложения прямо в переписке, не открывая отдельное окно.

Для выполнения JavaScript Telegram использует изолированную среду QuickJS. Она должна ограничивать возможности виджетов, в том числе запрещать им прямой доступ к интернету. Однако специалисты V12 смогли обойти предусмотренные механизмы защиты.

Сообщается, что исправление выпустили в Telegram для Android версии 13.2.2 (7303). В обновлении усилили изоляцию интерактивных элементов. Пользователям советуют установить актуальную версию приложения.

Полная техническая информация об уязвимости пока не опубликована. Также нет сообщений о масштабном использовании этой проблемы злоумышленниками или подтверждённой краже переписок.

Ранее Binance предупреждала о другой угрозе: вредоносные приложения могли обходить защиту iOS и получать доступ к данным других программ, включая пароли и криптокошельки, сообщает "Самара Онлайн 24".