Telegram Android'in arama kodunda bir hata keşfedildi. NebuSec startup'ına göre, bu hata üzerinden aramayı cevaplayan kişinin telefonunda kod yürütülebiliyor. Bu hata, 24 Eylül tarihli 12.10.4 sürümünde düzeltildi. Bu durum, Telegram Android'in bu sürümden daha eski bir versiyonunu kullananları etkiliyor: saldırı için karşı tarafın aramayı cevaplaması yeterli. Telegram, hatadan Ağustos ayından beri haberdardı ancak kod yürütme seviyesine ulaştığı iddialarına katılmıyor.
Ne Yapmalı
Telegram Android'i 12.10.4 veya daha yeni bir sürüme güncelleyin; istemcinin kaynak kodlarındaki en son sürüm 25 Ekim tarihli 13.1.1'dir. Sürüm numaranız "Ayarlar" ekranının altında görünür. Güncelleme yapamıyorsanız, "Ayarlar → Gizlilik ve Güvenlik → Aramalar" bölümünden aramaları "Kişilerim" veya "Hiç Kimse" olarak kısıtlayabilir ve tanımadığınız kişilerden gelen aramaları cevaplamayabilirsiniz.
NebuSec'in kendi açıklamalarına göre, hatanın iOS, masaüstü veya grup aramalarını etkilediğine dair bir kanıtları yok; yalnızca ARM64 işlemcili telefonlarda kişisel aramaları kontrol ettiler.
Hata Nerede
Arama sırasında istemciler, mikrofon ve kameranın açık olup olmadığı, videonun nasıl döndürüldüğü gibi durumları hakkında sinyal mesajları alışverişinde bulunur. Bu mesajlar, Telegram istemcileri için ortak olan tgcalls arama kütüphanesi tarafından ayrıştırılır. Bu mesajı ayrıştıran fonksiyonda, kod video döndürme alanının mevcut olduğunu ve bir sayı olduğunu kontrol ediyordu — ancak değeri daha sonra bitişik video durumu alanından alıyordu. Eğer karşı taraf video durumu olmadan bir döndürme değeri gönderirse, istemci var olmayan bir sözlük öğesine erişiyor ve değerini okuyordu — C++ dilinin tanımlamadığı bir davranış: program çökebilir veya bellekten herhangi bir şeyi alabilir.
Düzeltme, protokolün iki versiyonunda, bir alan adının diğeriyle değiştirildiği dört satırdan oluşuyor. Ortak tgcalls kütüphanesinde bu düzeltme, 21 Nisan'da "Fix camera rotation" başlığı altında yayınlandı, Telegram Android'de ise ancak 24 Eylül'de 12.10.4 sürümünde yer aldı.
NebuSec Ne İddia Ediyor
29 Ekim'de NebuSec, güvenlik açığının GPT-5.4 modelinde çalışan NebuSec Code Security ürünleri tarafından bulunduğunu duyurdu — kendileri bu modeli "dinosaur" olarak adlandırıyorlar. SQ Magazine ve kod.ru tarafından aktarılan bilgilere göre, 8.6.2'den 12.10.3'e kadar olan sürümler, yani Mart 2022'den Eylül 2026'ya kadar yayınlananlar savunmasız durumda; saldırganın sıradan bir hesaba ve cevaplanmış bir aramaya ihtiyacı var.
NebuSec'in kod yürütme kanıtı bir video; teknik bir analiz veya CVE numarası yok ve zincir bağımsız olarak doğrulanmadı.
Telegram Ne Cevap Verdi
Telegram temsilcisi SQ Magazine'e şirkete hatanın Ağustos ayında bildirildiğini ve düzeltmenin NebuSec raporu gelmeden önce yayınlandığını bildirdi. Temsilciye göre, iki rapordan hiçbirinde kod yürütmeye yol açan çalışan bir zincir bulunmuyordu. Aynı cevabı kod.ru da aktarıyor.
