В виджетах Telegram для Android нашли уязвимость, позволявшую выполнять код на устройстве
Исследователи безопасности V12 показали, что через интерактивные HTML-виджеты Telegram можно удалённо выполнять код на смартфоне под Android. Уязвимость уже закрыта в новой версии приложения.
Главное в цифрах
- Дата представления Bot API 10.4: 9 ноября
- Дата публикации демонстрации: 11 ноября
- Затронутая платформа: Telegram для Android
Новая функция появилась в Bot API 10.4, который Telegram представил 9 ноября. Виджеты встраиваются прямо в переписку и, в отличие от Mini Apps, не требуют открывать отдельное приложение. Они поддерживают HTML, CSS и JavaScript, а код исполняется в изолированной среде QuickJS.
Уязвимость затрагивала клиент Telegram для Android. Разработчики выпустили исправление.
Как была продемонстрирована атака
11 ноября исследователи V12 опубликовали видео под названием Telegram Widgets RCE. На нём пользователь Android запускает бота, который отправляет сообщение с обратным отсчётом. После окончания отсчёта на смартфоне самостоятельно открывается приложение «Калькулятор».
Такая демонстрация показывает, что код виджета мог выполнять действия на устройстве без участия пользователя.
Что делать пользователям
Пользователям Android стоит обновить приложение Telegram. По данным исследователей, новая функция быстро получает распространение среди ботов, поэтому риск касается не только отдельных каналов.
