Egy hanghívás fogadásával is kódot futtathatnak a Telegram androidos hibáján át
A NebuSec szerint egy közönséges Telegram-fiók is elég lehetett ahhoz, hogy a támadó hanghíváson keresztül kódot futtasson a hívást fogadó telefonon. A hibát ARM64-alapú Android-készülékeken igazolták; a javítást a Telegram 12.10.4-es verziója tartalmazza.
A Beállítások alján ellenőrizhető a verzió
A Telegram androidos alkalmazásának 8.6.2 és 12.10.3 közötti verziói érintettek a NebuSec közlése szerint. Ezek 2022 márciusa és 2026 szeptembere között jelentek meg. A javított 12.10.4-es kiadás szeptember végén érkezett, a kutatók pedig október 29-én hozták nyilvánosságra a felfedezést.
Az androidos alkalmazást használóknak 12.10.4-es vagy újabb verzióra kell frissíteniük. A telepített kiadás száma a Beállítások oldal alján látható.
Csak ARM64-es Android-telefonokon igazolták
A NebuSec négyszemközti hanghívásokban, ARM64-alapú telefonokon erősítette meg a hibát. Egyelőre nincs bizonyítéka arra, hogy az közvetlenül érintené az iOS-es vagy az asztali alkalmazást, illetve a csoportos hívásokat.
A probléma a hívás állapotát jelző üzenetek feldolgozásában volt. A kód nem kezelte megfelelően a hiányzó mezőket, és olyan memóriaterülethez nyúlt, amelyhez nem lett volna szabad.
A támadás technikai lépései még nem nyilvánosak
A bemutatóvideóban a hívás fogadása után körülbelül fél perccel megváltozik a célkészülék képernyője, majd megjelenik a NebuSec jelzése. A felvételből nem derül ki, melyik Telegram- és Android-verzió futott rajta.
Október 29-én még nem volt részletes technikai leírás a NebuSec oldalán. A kódfuttatás állítását így egyelőre a cég közlése és videója támasztja alá. A forrás nem közöl megerősített, valódi támadásról szóló adatot. Ennek a hanghívásos hibának ekkor még nem volt CVE-azonosítója.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum