В приложении Telegram для Android обнаружили уязвимость, которая позволяла выполнить код на смартфоне пользователя. Для этого жертве достаточно было ответить на голосовой звонок. Уязвимость выявил стартап NebuSec.
Атакующему хватало обычного аккаунта Telegram.
NebuSec опубликовала видео, демонстрирующее атаку. В ролике видно, как после приёма звонка примерно через полминуты Telegram закрывается, а на рабочем столе смартфона появляется надпись «HACKED BY NEBUSEC».
Ошибка находилась в коде, который обрабатывает служебные сообщения MediaState. Эти сообщения используются во время звонка для передачи информации о состоянии микрофона, камеры и ориентации видео.
По данным NebuSec, уязвимы все версии Telegram для Android с 8.6.2 по 12.10.3, вышедшие с марта 2022 по сентябрь 2026 года. Исправление было включено в версию 12.10.4, выпущенную в конце сентября. Свидетельств, что ошибка затрагивает приложения для iOS и компьютеров, нет.