Взлом через HTML Bubbles: что известно о новой уязвимости в Telegram

В HTML-сообщениях Telegram, которые ботам открыли всего два дня назад, уже нашли уязвимость. Демонстрацию взлома опубликовали в X исследователи безопасности V12.

HTML-виджеты (HTML bubbles) — интерактивные сообщения со своей разметкой и кнопками, которые работают прямо в чате, без запуска мини-приложения. Telegram включил их в версии 13.2 в начале ноября, а 9 ноября с выходом Bot API 10.4 присылать такие сообщения смогли все боты.

В ролике V12 под заголовком «Telegram Widgets RCE» пользователь Android открывает чат с ботом и нажимает «Старт». Бот присылает виджет с обратным отсчётом, и после него на смартфоне сам открывается «Калькулятор». Это привычный в индустрии способ показать удалённое выполнение кода (RCE), когда атакующий запускает свои команды на чужом устройстве. По словам исследователей, таким способом теперь можно атаковать через любое сообщение.

Технических деталей V12 не раскрыла: неизвестно, какие версии приложения затронуты, исправлена ли ошибка и работает ли атака на iOS и ПК. Вместо описания исследователи опубликовали хеш SHA-256. Такие хеши обычно выкладывают, чтобы после раскрытия деталей доказать, что находка была сделана раньше. Независимо уязвимость пока никто не подтвердил.

Это вторая RCE-уязвимость в Telegram для Android за месяц: в конце октября приложение можно было взломать одним голосовым звонком, ошибку закрыли в версии 12.10.4. Что ещё, кроме виджетов, получили боты в последнем обновлении, ранее рассказывал «Код.ру».