Telegram-Lücke: HTML-Widgets ermöglichten Codeausführung auf Android
Forscher von V12 zeigten, dass Telegrams neue HTML-Widgets auf Android Code aus der Ferne ausführen konnten. Ein Fix ist bereits veröffentlicht.
SUMO· das Zahlenrätsel
Dialo· Sprachen lernen durch Sprechen
ediviewer· EDI-Dateien wie Dokumente lesen
giftdetect· das passende Geschenk in MinutenTelegrams neue interaktive Widgets hatten schon wenige Tage nach dem Start ein ernstes Sicherheitsproblem. Die Sicherheitsforscher von V12 haben eine Telegram-Sicherheitslücke mit Remote Code Execution (RCE) in der Android-App demonstriert. Telegram hat bereits einen Fix veröffentlicht.
Die Funktion kam am 9. November mit Bot API 10.4. Bots können damit interaktive HTML-Widgets direkt in einen Chat schicken. Anders als Mini Apps öffnen sie sich nicht als eigene App, sondern laufen im Gespräch selbst. Unterstützt werden HTML, CSS und JavaScript. Das JavaScript soll in einer isolierten QuickJS-Umgebung laufen, einer kleinen JavaScript-Engine, die hier als Sandbox dient.
Laut den Forschern reichte diese Isolation unter Android nicht aus. Wie der Angriff genau funktionierte, geht aus der vorliegenden Zusammenfassung nicht hervor, deshalb fehlen Details dazu.
Was bedeutet Remote Code Execution?
Bei Remote Code Execution kann ein Angreifer aus der Ferne Code auf dem Gerät ausführen lassen. Das gilt als eine der gefährlichsten Fehlerarten, weil der Auslöser etwas Alltägliches sein kann, etwa eine Nachricht im Chat.
Ist Telegram auf Android jetzt sicher?
Die Entwickler haben einen Patch veröffentlicht. Der praktische Rat lautet daher: Telegram auf Android auf die neueste Version aktualisieren. Betroffen war laut den Forschern die Android-App.
Der Zeitplan ist knapp. Die Widgets wurden am 9. November eingeführt, am 11. November war die Forschung öffentlich. Funktionen, die Code direkt im Chat ausführen, sind ein attraktives Ziel, und diese wurde sehr schnell geprüft.
Apps, die sich lohnen
SUMO: das ZahlenrätselTippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.
Dialo: Sprachen lernen durch SprechenSprich mit einem KI-Gesprächspartner; jeder Satz kommt korrigiert und in deiner Sprache erklärt zurück. 9 Sprachen, A1 bis C2.
ediviewer: EDI-Dateien wie Dokumente lesenEDIFACT- und X12-Nachrichten öffnen, jedes Segment verständlich erklärt, in JSON/XML umwandeln, als PDF und Excel exportieren. Läuft lokal, kein Upload.
giftdetect: das passende Geschenk in MinutenWähle, für wen es ist, den Anlass und die Persönlichkeit. Die Suchmaschine liest Produktbeschreibungen lokaler Shops und sortiert, was passt. Kostenlos, ohne Anmeldung.
Mehr von diesem Tag
Alle anzeigen →
Glydr: Der Fußcontroller für 299 Dollar entlastet die Hände
Rubik's Cube wird wieder in Ungarn gebaut, jetzt von Robotern
KI-Shopping: Perplexity nannte in 15 % der Antworten verdächtige Shops
