Telegram Android'de voice çağrı açığı: kabul edilen aramayla kod çalıştırılabiliyordu

Güvenlik şirketi NebuSec, Telegram Android'de yalnızca sıradan bir hesapla, kurbanın sesli aramayı yanıtlamasıyla kod çalıştırılabilen bir açık bildirdi; açık 12.10.4 sürümüyle kapatıldı.

Güvenlik girişimi NebuSec'e göre, Telegram'ın Android uygulamasındaki bir açık, sıradan bir Telegram hesabına sahip bir saldırganın kurbanın sesli aramayı yanıtlamasının ardından kurbanın telefonunda kod çalıştırmasına olanak tanıyordu. Telegram açığı eylül sonunda yayımlanan 12.10.4 sürümünde kapattı; NebuSec ise bulguyu 29 Ekim'de kamuoyuyla paylaştı. Şirkete göre 8.6.2'den 12.10.3'e kadar olan tüm sürümler etkileniyordu ve açık yalnızca ARM64 işlemcili telefonlarda doğrulandı.

Telegram'ın yayımlanmış 12.10.3 kodunun incelenmesinde, bir dönüş değeri mevcut olduğunda yanlış alanı okuyan hatalı işlenmiş bir MediaState mesajı tespit edildi. Aynı düzeltme, nisan ayında ortak kullanılan tgcalls kütüphanesine de girdi; bu kütüphane iOS ve masaüstü kodlarına daha önce ulaşmış, ancak orada istismar edilebilir olduğu gösterilmemiştir.

NebuSec'in paylaştığı videoda saldırı gösteriliyor; ancak 29 Ekim itibarıyla web sitesinde teknik bir açıklama yer almıyordu ve açığın gerçek saldırılarda kullanılıp kullanılmadığı belirsizliğini koruyor. Kullanıcıların Ayarlar sayfasının altında görünen sürüm numarasını kontrol ederek 12.10.4 veya daha yeni bir sürümde olduklarından emin olmaları öneriliyor.