Telegram z poważną luką. Wystarczyło odebrać połączenie

Telegram w wersji na Androida posiadał poważną lukę, której wykorzystanie prowadziło do poważnych konsekwencji. Co gorsza, wystarczyło w tym przypadku odebrać połączenie, by uruchomić złośliwy kod.

Badacze z NebuSec odkryli lukę w Telegramie na Androida, która pozwalała na zdalne wykorzystanie kodu po odebraniu połączenia głosowego. Wystarczyło do tego podstawowe konto. Problem dotyczył wielu wersji aplikacji wydawanych przez ponad cztery lata, ale został już naprawiony.

Jak działała luka w Telegramie

Jak wynika z ustaleń firmy NebuSec podatne były wersje Telegrama od 8.6.2 do 12.10.3, wydawane między marcem 2022 a wrześniem 2026 roku. Błąd występował podczas przetwarzania komunikatów MediaState, wykorzystywanych do przekazywania informacji o mikrofonie, kamerze i orientacji obrazu podczas rozmowy. Aplikacja nieprawidłowo obsługiwała brakujące pola komunikatu, przez co mogła odwoływać się do niewłaściwego obszaru pamięci.

Telegram w wersji na Androida posiadał poważną lukę, której wykorzystanie prowadziło do poważnych konsekwencji.

Analiza kodu źródłowego wykazała, że Telegram sprawdzał wartość dotyczącą obrotu obrazu, a następnie odczytywał inne pole, nawet gdy nie było ono dostępne. Podczas testu po odebraniu połączenia przez ofiarę minęło około 30 sekund, a następnie urządzenie wróciło do ekranu głównego i wyświetliło napis „HACKED BY NEBUSEC”.

Badacze nie ujawnili jednak na jakiej wersji Androida oraz komunikatora przeprowadzili eksperyment z wykorzystaniem tej podatności. Nie wiadomo, czy podatność wykorzystywano w rzeczywistych atakach ani do jakich danych mógłby uzyskać dostęp napastnik.

Telegram udostępnił poprawkę

Poprawka trafiła do Telegrama 12.10.4 pod koniec września. Podobną poprawkę wprowadzono w bibliotece tgcalls już w kwietniu, a następnie uwzględniono ją w wersjach aplikacji na iOS i komputery.

Kolejne problemy Telegrama

Warto wspomnieć o innej podatności oznaczonej jako CVE-2026-111105 odkrytej w bibliotece rlottie, służącej do wyświetlania animowanych naklejek. Błąd oceniono na 7,0 punktów CVSS. Według badaczy odpowiednio przygotowany plik lub strona mogły prowadzić do wykonania kodu. Telegram wskazywał na zabezpieczenia serwerowe, ale badacz Saifeldeen Aziz twierdzi, że możliwe było ich obejście.

Androidowa i komputerowa wersja Telegrama zastąpiły rlottie biblioteką tlottie napisaną w Rust. Wersja iOS 13.0 dodała tlottie, zachowując jednocześnie rlottie. Jak więc widzimy Telegram zmagał się z paroma lukami bezpieczeństwa, aczkolwiek najważniejsze, iż sytuacja została w miarę szybko opanowana.