Багато хто думає, що звичайні повідомлення чи боти в месенджерах повністю безпечні для системи. Але нещодавній інцидент показав: інтерактивні елементи можуть створювати серйозні ризики для даних.
Команда Telegram нещодавно випустила функцію, яка перетворює повідомлення на міні-додатки за допомогою HTML-віджетів, опитувань та ігор. Разом із цим розширенням дослідники безпеки знайшли критичну вразливість у движку QuickJS, який обробляє JavaScript у цих блоках.
Проблема була в управлінні пам'яттю QuickJS. За певних умов шкідливий скрипт міг вийти за межі ізольованого середовища (сандбокса) та виконати довільні команди в операційній системі пристрою.
Як працювала вразливість на різних платформах
На Android атаки фіксувалися в реальних умовах [одразу після відкриття чату з ботом і натискання кнопки Start]. Шкідливий код отримував доступ до системних ресурсів, зокрема до даних криптогаманців та персональної інформації.
На ПК ситуація мала свої нюанси. У версії Telegram Desktop 7.4.2 розробники усунули низку аналогічних недоліків, проте одне з важливих виправлень не увійшло до загальної збірки.
Оперативне закриття діри та заходи безпеки
Щоб запобігти масовим загрозам, розробники випустили термінові оновлення. Для користувачів Android з'явилася пропатчена версія 13.2.2, а для десктопних систем випустили збірку Desktop 7.4.3.
Наразі відомі вектори атак через нові віджети закриті в актуальних версіях клієнтів. Медіабайєрам, криптоентузіастам та іншим активним користувачам месенджера варто перевірити свої додатки та оновити їх, уникаючи взаємодії з підозрілими ботами.
🖋 UAFF — будь в курсі арбітражних інсайтів