Osegi
セキュリティ·1 分で読めます

Telegram HTMLウィジェットにAndroid向けRCE脆弱性

V12の研究者が、Telegramの新機能であるチャット内HTMLウィジェットでAndroid端末の遠隔コード実行が可能だと実証した。修正は公開済みだ。

SUMO：数字パズルDialo：話して学ぶ語学アプリediviewer：EDIファイルを文書のように読むgiftdetect：数分でぴったりの贈り物

Telegramが追加したばかりのHTMLウィジェットに、Androidでリモートコード実行（RCE）ができる脆弱性があった。外部から端末上でコードを動かせる種類の欠陥だ。セキュリティ研究チームV12が実証した。

何が起きたのか

V12の研究者は、メッセージ内に埋め込まれるインタラクティブなHTMLウィジェットを使い、遠隔でコードを実行できることを示した。影響を受けたのはAndroid版Telegramで、開発元は修正をすでに公開している。

TelegramのHTMLウィジェットとは

Telegramは11月9日にBot API 10.4を公開し、ボットがインタラクティブなHTMLウィジェットを送れるようにした。Mini Appsのように別アプリを開く必要はなく、会話の中でそのまま動く。

HTML、CSS、JavaScriptに対応し、JavaScriptはQuickJSという隔離された環境で実行される。脆弱性が報じられたのは11月11日で、機能の公開から2日後だった。

ユーザーはどうすべきか

攻撃の具体的な手順は、入手できた情報には含まれていない。確かなのは修正が出ていることだ。AndroidのTelegramを最新版に更新しておくのが無難だろう。

注目のアプリ

SUMO：数字パズル

正しいマスを選んで足し算、目標の数に。覚えるのは簡単、極めるのは難しい。無料、全年齢向け。

Dialo：話して学ぶ語学アプリ

AIの会話パートナーと話すだけ。一文ごとに添削され、あなたの言語で解説が返ってきます。9言語、A1からC2まで。

タグ:telegramrcevulnerabilityandroidbot apihtml widgets

同じ日のニュース

すべて見る →

関連カテゴリ: セキュリティ

すべて見る →