Telegram for Android के कॉल कोड में एक बग पाया गया है, जिसके माध्यम से, स्टार्टअप NebuSec के अनुसार, कॉल स्वीकार करने वाले व्यक्ति के फोन पर कोड एग्जीक्यूट किया जा सकता है। इसे 24 सितंबर को जारी हुए वर्जन 12.10.4 में ठीक कर दिया गया है। यह उन लोगों को प्रभावित करता है जिनके पास Telegram for Android इस वर्जन से पुराना है: हमले के लिए, यह पर्याप्त है कि प्राप्तकर्ता कॉल उठा ले। Telegram को अगस्त से इस बग के बारे में पता था, लेकिन वह इस बात से सहमत नहीं है कि यह कोड एग्जीक्यूशन तक पहुंचता है।
क्या करें
Telegram for Android को 12.10.4 या नए वर्जन में अपडेट करें; क्लाइंट के सोर्स कोड में नवीनतम वर्जन 25 अक्टूबर का 13.1.1 है। आपका वर्जन नंबर "सेटिंग्स" स्क्रीन के नीचे दिखाई देता है। यदि आप अभी अपडेट नहीं कर सकते हैं, तो आप "सेटिंग्स → गोपनीयता और सुरक्षा → कॉल्स" में कॉल को "मेरे संपर्क" या "कोई नहीं" तक सीमित कर सकते हैं और अज्ञात लोगों से कॉल स्वीकार न करें।
NebuSec के अनुसार, इस बात का कोई सबूत नहीं है कि यह बग iOS, डेस्कटॉप या ग्रुप कॉल्स को प्रभावित करता है; उन्होंने ARM64 प्रोसेसर वाले फोन पर व्यक्तिगत कॉल्स का परीक्षण किया।
बग कहाँ है
कॉल के दौरान, क्लाइंट अपनी स्थिति के बारे में सर्विस मैसेज का आदान-प्रदान करते हैं: क्या माइक्रोफोन और कैमरा चालू हैं, वीडियो कैसे घुमाया गया है। इन मैसेज को tgcalls कॉल लाइब्रेरी द्वारा पार्स किया जाता है, जो Telegram क्लाइंट्स के लिए सामान्य है। इस मैसेज को पार्स करने के फंक्शन में, कोड यह जांचता था कि वीडियो रोटेशन फ़ील्ड मौजूद है और यह एक संख्या है — और फिर मान पड़ोसी फ़ील्ड, वीडियो स्टेट से लेता था। यदि प्राप्तकर्ता वीडियो स्टेट के बिना रोटेशन भेजता था, तो क्लाइंट एक ऐसे डिक्शनरी एलिमेंट को एक्सेस करता था जो मौजूद नहीं है, और उसका मान पढ़ता था — एक ऐसा व्यवहार जिसे C++ भाषा परिभाषित नहीं करती है: प्रोग्राम क्रैश हो सकता है या मेमोरी से कुछ भी ले सकता है।
सुधार प्रोटोकॉल के दो वर्जन में चार-चार लाइनों का है, जहाँ एक फ़ील्ड नाम को दूसरे से बदल दिया गया है। सामान्य tgcalls लाइब्रेरी में यह 21 अप्रैल को "Fix camera rotation" शीर्षक के तहत दिखाई दिया, Telegram for Android में — केवल 24 सितंबर को 12.10.4 में।
NebuSec क्या दावा करता है
29 अक्टूबर को NebuSec ने घोषणा की कि भेद्यता उनके उत्पाद NebuSec Code Security द्वारा पाई गई थी, जो GPT-5.4 मॉडल पर काम करता है — जिसे वे स्वयं "dinosaur" कहते हैं। SQ Magazine और kod.ru के अनुसार उनके डेटा के पुनर्कथन में, वर्जन 8.6.2 से 12.10.3 तक भेद्य हैं, यानी मार्च 2022 से सितंबर 2026 तक जारी किए गए; हमलावर को एक सामान्य अकाउंट और एक स्वीकार की गई कॉल की आवश्यकता होती है।
NebuSec के पास कोड एग्जीक्यूशन का प्रमाण — एक वीडियो है; कोई तकनीकी विश्लेषण और CVE नंबर नहीं है, और श्रृंखला को किसी ने स्वतंत्र रूप से सत्यापित नहीं किया है।
Telegram ने क्या जवाब दिया
Telegram के एक प्रतिनिधि ने SQ Magazine को बताया कि कंपनी को अगस्त में ही बग के बारे में सूचित कर दिया गया था और NebuSec की रिपोर्ट आने से पहले ही सुधार जारी कर दिया गया था। उनके अनुसार, दोनों रिपोर्टों में से किसी में भी कोई काम करने वाली श्रृंखला नहीं थी जो कोड एग्जीक्यूशन तक पहुंचती हो। kod.ru भी यही जवाब देता है।
