Telegram : une faille RCE dans les widgets HTML sur Android
Des chercheurs de V12 ont montré que les nouveaux widgets HTML de Telegram permettaient d'exécuter du code à distance sur Android. Un correctif est déjà publié.
SUMO · le puzzle de nombres
Dialo · apprenez les langues en parlant
ediviewer · lisez les fichiers EDI comme des documents
giftdetect · le bon cadeau en quelques minutesLes nouveaux widgets interactifs de Telegram ont présenté une faille sérieuse quelques jours après leur lancement. Les chercheurs en sécurité de V12 ont démontré une faille RCE dans Telegram, c'est-à-dire une exécution de code à distance, dans l'application Android. Telegram a déjà publié un correctif.
La fonction est arrivée le 9 novembre avec la Bot API 10.4. Elle permet aux bots d'envoyer des widgets HTML interactifs directement dans une conversation. Contrairement aux Mini Apps, qui s'ouvrent dans une application distincte, ces widgets fonctionnent dans la discussion elle-même. Ils prennent en charge HTML, CSS et JavaScript, ce dernier devant s'exécuter dans un environnement isolé QuickJS, un petit moteur JavaScript utilisé comme bac à sable.
Selon les chercheurs, cet isolement ne suffisait pas sur Android. Le résumé dont nous disposons ne détaille pas le fonctionnement de l'attaque, nous n'en dirons donc pas plus.
Qu'est-ce que l'exécution de code à distance ?
C'est la possibilité pour un attaquant de faire exécuter du code de son choix sur votre appareil, sans y toucher. C'est l'un des types de failles les plus graves, car le point de départ peut être aussi banal qu'un message reçu dans une discussion.
Telegram sur Android est-il sûr maintenant ?
Les développeurs ont publié un correctif. Le conseil pratique est donc de mettre Telegram à jour sur Android. D'après les chercheurs, seule l'application Android était concernée.
Le calendrier est serré : widgets introduits le 9 novembre, recherche publique le 11. Une fonction qui exécute du code dans une conversation attire vite l'attention, et celle-ci a été testée sans tarder.
Des apps à découvrir
SUMO : le puzzle de nombresTouche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.
Dialo : apprenez les langues en parlantDiscutez avec un partenaire IA ; chaque phrase revient corrigée et expliquée dans votre langue. 9 langues, de A1 à C2.
ediviewer : lisez les fichiers EDI comme des documentsOuvrez des messages EDIFACT et X12, chaque segment expliqué, conversion JSON/XML, export PDF et Excel. Fonctionne en local, sans envoi.
giftdetect : le bon cadeau en quelques minutesChoisissez pour qui, l'occasion et la personnalité. Le moteur lit les descriptions de produits de boutiques locales et classe ce qui convient. Gratuit, sans inscription.
Plus d'actus de ce jour
Tout voir →
Glydr, la manette à pied à 299 dollars qui soulage les mains
Rubik's Cube : la production revient en Hongrie, avec des robots
Achats avec une IA : Perplexity cite des boutiques douteuses dans 15 % des cas
