Osegi
Безопасность·1 мин чтения

Telegram: в HTML-виджетах нашли RCE-уязвимость на Android

Исследователи V12 показали, что новые HTML-виджеты в чатах Telegram позволяли удалённо выполнить код на Android. Разработчики уже выпустили исправление.

SUMODialoediviewergiftdetect

Новая функция Telegram должна была превратить чаты в мини-приложения. Исследователи безопасности V12 показали, что через HTML-виджеты можно ещё и удалённо выполнить код на смартфоне. Уязвимость класса RCE (remote code execution, удалённое выполнение кода) касалась Telegram для Android. Исправление уже выпущено.

Что такое HTML-виджеты в Telegram?

9 ноября Telegram представил Bot API 10.4. С этой версии боты могут отправлять интерактивные HTML-виджеты. В отличие от Mini Apps, они не открывают отдельное приложение, а работают прямо внутри переписки.

Виджеты поддерживают HTML, CSS и JavaScript. Код на JavaScript исполняется в изолированной среде QuickJS. Такая изоляция нужна, чтобы код из сообщения не добрался до остальной системы. Исследователи V12 продемонстрировали, что на Android её удалось обойти и добиться выполнения кода.

Что это значит для пользователей

Уязвимость затрагивала только приложение для Android, и разработчики её закрыли. Но принцип понятный: чем больше кода запускается внутри сообщений, тем больше мест, где что-то может пойти не так. Функции от запуска не прошло и недели, а проблему уже нашли.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Теги:telegramrcevulnerabilityandroidbot apihtml widgets

Ещё за этот день

Показать все →

Ещё в рубрике: Безопасность

Показать все →