Se ha encontrado un error en el código de llamadas de Telegram para Android a través del cual, según la startup NebuSec, se podría ejecutar código en el teléfono de quien responde la llamada. Fue corregido en la versión 12.10.4 del 24 de septiembre. Esto afecta a quienes tienen una versión de Telegram para Android anterior a esta: para el ataque, basta con que el interlocutor responda la llamada. Telegram conocía el error desde agosto, pero no está de acuerdo con que la situación derive en ejecución de código.
Qué hacer
Actualice Telegram para Android a la versión 12.10.4 o posterior; la última versión en los archivos fuente del cliente es la 13.1.1 del 25 de octubre. El número de su versión se ve en la parte inferior de la pantalla «Ajustes». Si aún no puede actualizar, puede restringir las llamadas en «Ajustes → Privacidad y seguridad → Llamadas» a «Mis contactos» o «Nadie» y no aceptar llamadas de desconocidos.
Según NebuSec, no hay pruebas de que el error afecte a iOS, al cliente de escritorio o a las llamadas grupales; ellos verificaron las llamadas personales en teléfonos con procesadores ARM64.
Dónde está el error
Durante una llamada, los clientes intercambian mensajes de señalización sobre su estado: si el micrófono y la cámara están encendidos, cómo está rotado el video. La biblioteca de llamadas tgcalls, común para los clientes de Telegram, se encarga de su análisis. En la función de análisis de este mensaje, el código verificaba que el campo de rotación de video existiera y fuera un número, pero luego tomaba el valor de un campo adyacente, el estado del video. Si el interlocutor enviaba una rotación sin el estado del video, el cliente accedía a un elemento del diccionario que no existía y leía su valor, un comportamiento que el lenguaje C++ no define: el programa podría fallar o tomar cualquier cosa de la memoria.
La corrección consiste en cuatro líneas en dos versiones del protocolo, donde un nombre de campo ha sido reemplazado por otro. En la biblioteca común tgcalls apareció el 21 de abril bajo el título «Fix camera rotation», y en Telegram para Android, solo en la versión 12.10.4 el 24 de septiembre.
Qué declara NebuSec
El 29 de octubre, NebuSec anunció que la vulnerabilidad fue encontrada por su producto NebuSec Code Security, que funciona con el modelo GPT-5.4, al que ellos mismos llaman un "dinosaurio". Según sus datos, tal como los resumen SQ Magazine y kod.ru, las versiones vulnerables van desde la 8.6.2 hasta la 12.10.3, es decir, las lanzadas entre marzo de 2022 y septiembre de 2026; el atacante necesita una cuenta normal y que se responda la llamada.
La prueba de ejecución de código de NebuSec es un video; no hay un análisis técnico ni un número CVE, y la cadena de ataque no ha sido verificada de forma independiente por nadie.
Qué respondió Telegram
Un representante de Telegram informó a SQ Magazine que la compañía fue notificada del error en agosto y que la corrección se lanzó antes de que llegara el informe de NebuSec. Según él, ninguno de los dos informes contenía una cadena de ataque funcional que llevara a la ejecución de código. La misma respuesta es citada por kod.ru.
