اكتُشفت ثغرة في كود المكالمات بتطبيق Telegram لأجهزة Android تسمح، وفقًا لشركة NebuSec الناشئة، بتنفيذ تعليمات برمجية على هاتف المستخدم الذي يجيب على المكالمة. تم إصلاح هذه الثغرة في الإصدار 12.10.4 الصادر بتاريخ 24 سبتمبر. تؤثر هذه الثغرة على مستخدمي Telegram لأجهزة Android الذين يستخدمون إصدارات أقدم من هذا الإصدار؛ ويكفي لإتمام الهجوم أن يجيب الطرف الآخر على المكالمة. كانت Telegram على علم بالثغرة منذ أغسطس، لكنها لا توافق على أنها تؤدي إلى تنفيذ تعليمات برمجية.
ماذا تفعل
حدّث Telegram لأجهزة Android إلى الإصدار 12.10.4 أو أحدث؛ أحدث إصدار في الشيفرة المصدرية للعميل هو 13.1.1 بتاريخ 25 أكتوبر. يمكنك رؤية رقم إصدارك في أسفل شاشة «الإعدادات». إذا لم تتمكن من التحديث حاليًا، يمكنك تقييد المكالمات في «الإعدادات ← الخصوصية والأمان ← المكالمات» إلى «جهات اتصالي» أو «لا أحد»، وتجنب الرد على المكالمات من أرقام غير معروفة.
وفقًا لـ NebuSec، لا توجد أدلة على أن الثغرة تؤثر على iOS أو إصدار سطح المكتب أو المكالمات الجماعية؛ وقد قاموا باختبار المكالمات الفردية على الهواتف المزودة بمعالجات ARM64.
أين تكمن الثغرة
أثناء المكالمة، يتبادل العملاء رسائل خدمة (signalling messages) حول حالتهم: ما إذا كان الميكروفون والكاميرا قيد التشغيل، وكيف يتم تدوير الفيديو. يتم تحليل هذه الرسائل بواسطة مكتبة المكالمات tgcalls، وهي مكتبة مشتركة بين عملاء Telegram. في وظيفة تحليل هذه الرسالة، كان الكود يتحقق من وجود حقل تدوير الفيديو وأنه رقم، ثم يأخذ القيمة من حقل مجاور، وهو حقل حالة الفيديو. إذا أرسل الطرف الآخر تدويرًا بدون حالة الفيديو، فإن العميل كان يصل إلى عنصر في القاموس غير موجود ويقرأ قيمته — وهو سلوك لا تحدده لغة C++: قد يتعطل البرنامج أو يأخذ أي شيء من الذاكرة.
يتكون الإصلاح من أربعة أسطر في نسختين من البروتوكول، حيث تم استبدال اسم حقل بآخر. في مكتبة tgcalls المشتركة، ظهر الإصلاح بتاريخ 21 أبريل تحت عنوان "Fix camera rotation"، بينما ظهر في Telegram لأجهزة Android فقط في الإصدار 12.10.4 بتاريخ 24 سبتمبر.
ما الذي تدعيه NebuSec
في 29 أكتوبر، أعلنت NebuSec أن منتجها NebuSec Code Security، الذي يعمل بنموذج GPT-5.4 — والذي يصفونه هم أنفسهم بـ "الديناصور" — هو من اكتشف الثغرة. وفقًا لبياناتهم التي أعادت SQ Magazine وkod.ru نشرها، فإن الإصدارات المعرضة للخطر تتراوح من 8.6.2 إلى 12.10.3، أي تلك التي صدرت بين مارس 2022 وسبتمبر 2026؛ ويحتاج المهاجم إلى حساب عادي ومكالمة يتم الرد عليها.
دليل NebuSec على تنفيذ التعليمات البرمجية هو مقطع فيديو؛ لا يوجد تحليل تقني أو رقم CVE، ولم يتم التحقق من السلسلة بشكل مستقل من قبل أي جهة.
ما هو رد Telegram
صرح ممثل Telegram لمجلة SQ Magazine بأن الشركة أُبلغت بالخطأ في أغسطس، وأن الإصلاح صدر قبل وصول تقرير NebuSec. ووفقًا له، لم تتضمن أي من التقريرين سلسلة عمل تؤدي إلى تنفيذ التعليمات البرمجية. نقل موقع kod.ru نفس الرد.
