Специалисты по кибербезопасности нашли серьезную уязвимость в новой функции Telegram — мини-приложениях внутри сообщений. По их словам, она позволяла злоумышленникам удаленно запускать на устройстве пользователя свой код и фактически получить контроль над мессенджером. Об этом пишет издание «Важные истории». Основатель Telegram Павел Дуров заявил, что такой проблемы не существует, однако функцию в мессенджере отключили.
О новой функции Дуров объявил 10 ноября. Он пообещал, что с ее помощью любое сообщение в чате можно превратить в небольшое приложение со встроенной оплатой через TON-кошелек.
Уже на следующий день специалисты по информационной безопасности из команды V12 опубликовали видео: на нем через виджет от бота на Android-смартфоне удаленно запускается калькулятор. Такая демонстрация показывает, что посторонний код можно выполнить на чужом устройстве. Позже похожую атаку исследователи провели и на версии мессенджера для Windows.
В Telegram заявили, что проблему на Android исправили в тот же день, 10 ноября, а 11 ноября исправление получили все пользователи. Однако, как утверждает специалист по кибербезопасности Джоэл Эрикссон, на вечер 12 ноября уязвимость все еще оставалась в версиях для iOS и компьютеров. Он допускает, что ее могли закрыть в еще не вышедшем обновлении для iOS.
Эксперты сходятся в том, что проблема не в одной ошибке, а в самом устройстве функции: новые уязвимости будут появляться снова. Эрикссон назвал безответственностью запуск такой функции в мессенджере, у которого около миллиарда активных пользователей.
По словам специалистов, при обычном чтении каналов в Telegram риска нет. Уязвимость затрагивает личные чаты с ботами. Они советуют не активировать интерактивные карточки ботов в чатах и сохраняют прежнюю рекомендацию не использовать Telegram для чувствительной переписки.
Собеседник «Важных историй», архитектор по информационной безопасности, считает, что под угрозой любой, кому пришло сообщение с виджетом. Как минимум злоумышленник может вызвать сбой приложения или получить доступ к памяти устройства.
Что говорит Дуров
Павел Дуров отверг сообщения об уязвимости и заявил, что «эта проблема не существует». По его словам, никого нельзя взломать просто сообщением: для этого пользователь сначала должен сам запустить сторонний сервис. Дуров также заявил, что проблему полностью исправили на стороне сервера.
«Думаете иначе — попробуйте взломать мой аккаунт», — предложил Дуров.
Как обратили внимание «Важные истории», незадолго до этого заявления Telegram просто отключил HTML-виджеты в мессенджере.
