Një dobësi në Telegram për Android lejonte ekzekutimin e kodit në telefonin e viktimës pasi ajo pranonte një thirrje zanore, sipas kompanisë së sigurisë NebuSec. Sulmuesit i mjaftonte një llogari e zakonshme Telegram. Problemi prek versionet 8.6.2–12.10.3, të publikuara nga marsi 2022 deri në shtator 2026.
Telegram e korrigjoi dobësinë në versionin 12.10.4, të publikuar në fund të shtatorit. NebuSec e bëri publike më 29 tetor, kur ende nuk kishte një identifikues CVE. Përdoruesit duhet të kenë versionin 12.10.4 ose më të ri; numri i versionit shfaqet në fund të faqes së cilësimeve.
Gabimi ndodhej te përpunimi i mesazheve MediaState, që shkëmbejnë të dhëna mbi gjendjen e mikrofonit dhe kamerës gjatë thirrjeve. Mungesa e disa fushave shkaktonte qasje të pavlefshme në memorie. Një shqyrtim i kodit burimor nga The Hacker News gjeti një gabim që përputhet me këtë përshkrim.
NebuSec e konfirmoi problemin në thirrje private në telefona ARM64, por nuk ka prova se ai prek drejtpërdrejt aplikacionet për iOS, kompjuterët apo thirrjet në grup. Videoja demonstruese nuk tregon versionet e Telegram ose Android dhe, deri më 29 tetor, mungonte një analizë teknike publike. Pretendimi për ekzekutim kodi mbështetet te videoja dhe deklaratat e kompanisë; përdorimi në sulme reale mbetet i pakonfirmuar.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
