Telegram отключил HTML-виджеты, хотя Дуров* заявил что проблемы нет
Telegram отключил HTML-виджеты для всех ботов после опубликованной серии найденных эксплойтов через них. При этом Павел Дуров (внесён в перечень террористов и экстремистов Росфинмониторинга) заявил, что проблемы нет.
Ролик с новой демонстрацией эксплойта команда V12 опубликовала в X в ночь на 13 ноября. На нём Telegram Desktop версии 7.4.3 — она вышла 12 ноября, уже после исправления ошибок в движке виджетов, и с дополнительной защитой их зависимостей. Пользователь открывает чат с ботом V12 и нажимает «Старт», бот присылает виджет, после чего на компьютере сам открывается «Калькулятор». Так в индустрии обычно показывают удалённое выполнение кода (RCE).
Исследователи считают, что дело не в отдельных ошибках, а в самой функции.
«Даже если отдельные ошибки закрывают, QuickJS в сообщениях без песочницы сильно расширяет поверхность атаки», — написали в V12.
Через несколько часов Дуров ответил на сообщения о RCE в виджетах для Android и Windows. По его словам, взломать пользователя одним присланным сообщением нельзя: сначала нужно самому запустить сторонний бот. Он добавил, что и эту возможность уже полностью закрыли на стороне сервера, и предложил желающим попробовать взломать его собственный аккаунт.
Примерно в то же время, около 19:00 по Москве, Telegram отключил виджеты для всех ботов на стороне сервера, сообщил Gramnews. Присылать новые виджеты боты больше не могут, но те, что уже пришли в переписку раньше, продолжают работать.
V12 показывает такую атаку уже второй раз за неделю. 9 ноября Telegram открыл HTML-виджеты всем ботам, через два дня V12 показала атаку на Android, а 10 ноября компания закрыла в движке виджетов QuickJS сразу несколько ошибок работы с памятью. Технических деталей новой атаки V12 пока не раскрыла.
О том, какую уязвимость нашли в движке QuickJS и как Telegram её исправил, ранее рассказывал «Код.ру».