В Telegram для Android обнаружили уязвимость, которая при определенных условиях могла позволить злоумышленникам получить контроль над смартфоном после ответа пользователя на голосовой вызов. Исправление выпустили в обновлении 12.10.4 в конце сентября, однако о проблеме стало известно только 29 октября, сообщает The Hacker News.
Уязвимость затрагивала версии мессенджера с 8.6.2 по 12.10.3, выходившие с марта 2022-го по сентябрь 2026 года. Безопасной считается версия 12.10.4 и новее. Проверить установленную версию можно в настройках Telegram. По словам сооснователя и гендиректора NebuSec Этена Зу, если приложение давно не обновлялось, устройство может оставаться под угрозой.
Сама ошибка не обеспечивала полного доступа к системе. Вредоносный код сначала выходил за пределы Telegram в Android, после чего для захвата устройства требовалась еще одна уязвимость операционной системы. При успешной атаке злоумышленник мог получить доступ к переписке, микрофону и камере.
Специалисты NebuSec подтвердили такую схему во время частных звонков на устройствах с процессорами ARM64. Сведений о влиянии проблемы на iOS, компьютеры и групповые вызовы нет.
Причиной стала ошибка при обработке служебных сообщений MediaState, которые передают информацию о состоянии микрофона, камеры и повороте видео. Если в сообщении отсутствовало определенное поле, приложение обращалось к недопустимой области памяти. Похожую ошибку в общей библиотеке звонков tgcalls исправили еще 21 апреля, сообщает "Самара Онлайн 24" .
