Osegi
Güvenlik·1 dk okuma

Telegram HTML widget'larında Android'de uzaktan kod çalıştırma açığı

V12 araştırmacıları, Telegram'ın sohbet içi HTML widget'larının Android'de uzaktan kod çalıştırmak için kullanılabildiğini gösterdi. Düzeltme yayımlandı.

SUMODialoediviewergiftdetect

Telegram'ın yeni özelliği sohbetleri küçük uygulamalara çevirmeyi vadediyordu. Güvenlik araştırmacıları V12, bu HTML widget'ları üzerinden telefonda uzaktan kod çalıştırmanın da mümkün olduğunu gösterdi. RCE (remote code execution, yani uzaktan kod çalıştırma) olarak bilinen açık Telegram'ın Android sürümünü etkiliyordu. Geliştiriciler düzeltmeyi şimdiden yayımladı.

Telegram HTML widget'ları nedir?

Telegram, 9 Kasım'da Bot API 10.4'ü duyurdu. Bu sürümle botlar sohbete etkileşimli HTML widget'ları gönderebiliyor. Mini Apps'ten farkı, ayrı bir uygulama açmamaları. Widget'lar doğrudan yazışmanın içinde çalışıyor.

Widget'lar HTML, CSS ve JavaScript destekliyor. JavaScript kodu, QuickJS tabanlı yalıtılmış bir ortamda çalıştırılıyor. Bu yalıtımın amacı, mesajdan gelen kodun sistemin geri kalanına erişmesini engellemek. V12 araştırmacıları ise Android'de bunun aşılarak kod çalıştırılabildiğini gösterdi.

Kullanıcılar için ne anlama geliyor?

Açık yalnızca Android uygulamasını etkiliyordu ve Telegram bunu yamaladı. Yine de mesajın içinde ne kadar çok kod çalışırsa, bir şeylerin ters gitme ihtimali de o kadar artıyor. Özellik daha birkaç gün önce kullanıma girmişti ve sorun çok kısa sürede bulundu.

Göz atmaya değer uygulamalar

SUMO: sayı bulmacası

Doğru kareleri seçin, toplayın, hedefe ulaşın. Öğrenmesi kolay, ustalaşması zor. Ücretsiz, her yaşa uygun.

Dialo: konuşarak dil öğrenin

Yapay zekâ sohbet partneriyle konuşun; her cümleniz düzeltilip kendi dilinizde açıklanarak geri gelsin. 9 dil, A1'den C2'ye.

Etiketler:telegramrcevulnerabilityandroidbot apihtml widgets

Aynı günden diğer haberler

Tümünü gör →

Daha fazla: Güvenlik

Tümünü gör →