Telegram for Android qoʻngʻiroqlari kodida NebuSec masofaviy kod ijrosi deb ataydigan xato topildi.
Telegram for Android qoʻngʻiroqlari kodida xato aniqlandi. NebuSec startapining soʻzlariga koʻra, bu xato orqali qoʻngʻiroqni qabul qilgan shaxsning telefonida kodni ishga tushirish mumkin. U 24-sentabrdagi 12.10.4 versiyasida tuzatilgan. Bu xato Telegram for Android'ning ushbu versiyasidan eskiroq versiyalariga ega boʻlganlarga tegishli: hujum qilish uchun suhbatdoshning qoʻngʻiroqni qabul qilishi kifoya. Telegram bu xato haqida avgust oyidan beri bilgan, ammo kod ijrosiga olib kelishi bilan rozi emas.
Nima qilish kerak
Telegram for Android'ni 12.10.4 yoki undan yangiroq versiyaga yangilang; klientning manba kodlaridagi soʻnggi versiyasi — 25-oktabrdagi 13.1.1. Oʻz versiya raqamingizni «Sozlamalar» ekranining pastki qismida koʻrishingiz mumkin. Hozircha yangilash imkoni boʻlmasa, «Sozlamalar → Maxfiylik va xavfsizlik → Qoʻngʻiroqlar» boʻlimida qoʻngʻiroqlarni «Mening kontaktlarim» yoki «Hech kim» ga cheklashingiz va notanishlardan qoʻngʻiroqlarni qabul qilmasligingiz mumkin.
NebuSec'ning soʻzlariga koʻra, xato iOS, desktop yoki guruhli qoʻngʻiroqlarga taʼsir qilganligi haqida dalillar yoʻq; ular ARM64 protsessorli telefonlarda shaxsiy qoʻngʻiroqlarni tekshirganlar.
Xato qayerda
Qoʻngʻiroq paytida klientlar oʻz holatlari haqida xizmat xabarlari bilan almashadilar: mikrofon va kamera yoqilganmi, video qanday aylantirilgan. Ularni Telegram klientlari uchun umumiy boʻlgan tgcalls qoʻngʻiroqlar kutubxonasi tahlil qiladi. Ushbu xabarni tahlil qilish funksiyasida kod video aylanish maydoni mavjudligini va bu raqam ekanligini tekshirgan — ammo qiymatni keyin yonidagi maydondan, video holatidan olgan. Agar suhbatdosh video holatisiz aylanishni yuborsa, klient mavjud boʻlmagan lugʻat elementiga murojaat qilgan va uning qiymatini oʻqigan — bu C++ tili aniqlamagan xatti-harakat: dastur ishdan chiqishi yoki xotiradan istalgan narsani olishi mumkin.
Tuzatish — protokolning ikki versiyasida toʻrtta qatordan iborat boʻlib, unda bitta maydon nomi boshqasiga almashtirilgan. Umumiy tgcalls kutubxonasida u 21-aprelda «Fix camera rotation» sarlavhasi ostida paydo boʻlgan, Telegram for Android'da esa faqat 24-sentabrdagi 12.10.4 versiyasida.
NebuSec nima deydi
29-oktabrda NebuSec eʼlon qildi, zaiflikni ularning GPT-5.4 modelida ishlaydigan NebuSec Code Security mahsuloti topgan — ular uni "dinosaur" deb atashadi. SQ Magazine va kod.ru tomonidan qayta hikoya qilingan maʼlumotlarga koʻra, 8.6.2 dan 12.10.3 gacha boʻlgan versiyalar, yaʼni 2022-yil martidan 2026-yil sentabrigacha chiqarilgan versiyalar zaif; hujum qiluvchiga oddiy akkaunt va qabul qilingan qoʻngʻiroq kerak.
NebuSec'da kod ijrosining dalili — video; texnik tahlil va CVE raqami yoʻq, va zanjirni hech kim mustaqil ravishda tekshirmagan.
Telegram nima javob berdi
Telegram vakili SQ Magazine'ga maʼlum qildi, kompaniyaga xato haqida avgust oyida xabar berilgan va tuzatish NebuSec hisoboti kelishidan oldin chiqarilgan. Uning soʻzlariga koʻra, ikkala hisobotda ham kod ijrosiga olib keladigan ishlaydigan zanjir boʻlmagan. Xuddi shu javobni kod.ru ham keltirgan.
