Ditemukan bug dalam kode panggilan Telegram untuk Android, yang menurut startup NebuSec, memungkinkan eksekusi kode pada ponsel penerima panggilan. Bug ini telah diperbaiki dalam versi 12.10.4 yang dirilis pada 24 September. Ini memengaruhi pengguna Telegram untuk Android yang memiliki versi lebih lama dari itu: untuk melakukan serangan, cukup bagi korban untuk mengangkat telepon. Telegram telah mengetahui tentang bug ini sejak Agustus, tetapi tidak setuju bahwa masalah ini dapat menyebabkan eksekusi kode.
Apa yang Harus Dilakukan
Perbarui Telegram untuk Android ke versi 12.10.4 atau yang lebih baru; versi terbaru dalam kode sumber klien adalah 13.1.1 per 25 Oktober. Nomor versi Anda dapat dilihat di bagian bawah layar 'Pengaturan'. Jika belum bisa memperbarui, Anda dapat membatasi panggilan di 'Pengaturan → Privasi dan Keamanan → Panggilan' menjadi 'Kontak Saya' atau 'Tidak Ada' dan tidak menerima panggilan dari orang yang tidak dikenal.
Menurut NebuSec, tidak ada bukti bahwa bug ini memengaruhi iOS, desktop, atau panggilan grup; mereka hanya menguji panggilan pribadi pada ponsel dengan prosesor ARM64.
Di Mana Letak Bugnya
Selama panggilan, klien bertukar pesan layanan tentang status mereka: apakah mikrofon dan kamera diaktifkan, bagaimana rotasi video. Pesan-pesan ini di-parsing oleh pustaka panggilan tgcalls, yang umum untuk klien Telegram. Dalam fungsi parsing pesan ini, kode memeriksa apakah field rotasi video ada dan merupakan angka, — tetapi kemudian mengambil nilai dari field yang berdekatan, yaitu status video. Jika lawan bicara mengirim rotasi tanpa status video, klien akan mengakses elemen kamus yang tidak ada dan membaca nilainya — perilaku yang tidak didefinisikan oleh bahasa C++: program dapat crash atau mengambil apa pun dari memori.
Perbaikan ini terdiri dari empat baris dalam dua versi protokol, di mana satu nama field diganti dengan yang lain. Dalam pustaka umum tgcalls, perbaikan ini muncul pada 21 April dengan judul "Fix camera rotation", sedangkan di Telegram untuk Android, perbaikan ini baru ada di 12.10.4 pada 24 September.
Klaim NebuSec
Pada 29 Oktober, NebuSec mengumumkan bahwa kerentanan ini ditemukan oleh produk mereka, NebuSec Code Security, yang berjalan pada model GPT-5.4 — yang mereka sebut sebagai "dinosaur". Menurut data mereka yang diceritakan ulang oleh SQ Magazine dan kod.ru, versi yang rentan adalah dari 8.6.2 hingga 12.10.3, yaitu yang dirilis dari Maret 2022 hingga September 2026; penyerang hanya membutuhkan akun biasa dan panggilan yang diterima.
Bukti eksekusi kode dari NebuSec adalah video; tidak ada analisis teknis atau nomor CVE, dan rantai serangan belum diverifikasi secara independen oleh siapa pun.
Tanggapan Telegram
Perwakilan Telegram memberi tahu SQ Magazine bahwa perusahaan telah diberitahu tentang bug ini pada bulan Agustus dan perbaikan telah dirilis sebelum laporan NebuSec tiba. Menurutnya, tidak ada satu pun dari dua laporan tersebut yang memiliki rantai serangan yang berfungsi yang dapat menyebabkan eksekusi kode. Tanggapan yang sama dikutip oleh kod.ru.
