Osegi
Bezpieczeństwo·1 min czytania

Telegram: luka RCE w widżetach HTML pozwalała uruchomić kod na Androidzie

Badacze z V12 pokazali, że nowe interaktywne widżety HTML w czatach Telegrama dało się wykorzystać do zdalnego uruchomienia kodu na Androidzie. Poprawka już jest.

SUMODialoediviewergiftdetect

Nowa funkcja Telegrama miała zrobić z czatów małe aplikacje. Badacze bezpieczeństwa z zespołu V12 pokazali, że przez widżety HTML dało się też zdalnie uruchomić kod na telefonie. Luka typu RCE (remote code execution, czyli zdalne wykonanie kodu) dotyczyła Telegrama na Androida. Twórcy komunikatora wydali już poprawkę.

Czym są widżety HTML w Telegramie?

Telegram wprowadził Bot API 10.4 w poniedziałek, 9 listopada. Od tej wersji boty mogą wysyłać interaktywne widżety HTML. W przeciwieństwie do Mini Apps nie otwierają one osobnej aplikacji, tylko działają bezpośrednio w rozmowie.

Widżety obsługują HTML, CSS i JavaScript. Kod JavaScript jest wykonywany w odizolowanej piaskownicy opartej na silniku QuickJS. Taka izolacja ma pilnować, by kod z wiadomości nie sięgał do reszty systemu. Badacze z V12 pokazali, że na Androidzie dało się ją obejść w sposób prowadzący do wykonania kodu.

Co to oznacza dla użytkowników?

Luka dotyczyła wyłącznie aplikacji na Androida. Telegram zdążył ją załatać, więc sprawa nie jest już otwarta. Zasada jest jednak znajoma: im więcej kodu uruchamia się wewnątrz wiadomości, tym więcej miejsc, w których coś może pójść nie tak. Funkcja ruszyła dopiero kilka dni temu i badacze znaleźli problem w tak krótkim czasie.

Aplikacje warte uwagi

SUMO: łamigłówka liczbowa

Wybierz właściwe pola, dodaj je i trafiaj w cel. Łatwa do nauczenia, trudna do opanowania. Za darmo, dla każdego wieku.

Tagi:telegramrcevulnerabilityandroidbot apihtml widgets

Więcej z tego dnia

Zobacz wszystkie →

Więcej w kategorii: Bezpieczeństwo

Zobacz wszystkie →