Telegram corrige falha no Android que executava código ao atender chamada
Uma falha no Telegram para Android permitia a um atacante executar código no celular da vítima assim que ela atendesse uma chamada de voz; bastava uma conta comum do Telegram. O Telegram corrigiu o problema na versão 12.10.4, lançada no fim de setembro, e a NebuSec divulgou a falha em 29 de outubro. Atualize o aplicativo para a versão 12.10.4 ou superior.
O que aconteceu
Uma falha no Telegram para Android permitia que um atacante executasse código no celular da vítima assim que ela atendesse uma chamada de voz. O atacante precisava apenas de uma conta comum do Telegram. O Telegram já corrigiu o problema na versão 12.10.4.
Por que importa
Qualquer funcionário que usasse o Telegram para Android podia ser comprometido ao atender uma chamada, sem clicar em link nem abrir arquivo. Um ataque desses pode dar ao invasor acesso ao aparelho e às conversas. A correção existe desde o fim de setembro, mas aparelhos desatualizados continuam expostos.
O que fazer
Atualize o Telegram para Android para a versão 12.10.4 ou superior em todos os celulares da empresa. Verifique se há aparelhos com versões antigas do aplicativo.
Para o time técnico
- Afetados
- Telegram para Android · Telegram para Android; a falha foi corrigida na versão 12.10.4. A fonte começa a dizer que a falha pode ser acionada 'em todas as versões a partir de...', mas o texto foi cortado e não informa o início do intervalo; considere afetadas as versões anteriores à correção.
- Exploração
- A fonte não relata exploração na natureza nem PoC pública. Divulgação pela NebuSec em 29 de outubro; correção lançada pelo Telegram no fim de setembro.
- Correção
- Versão 12.10.4 do Telegram para Android, lançada no fim de setembro.
- Vetor
- Telegram para Android; execução de código no aparelho da vítima disparada no momento em que ela atende uma chamada de voz. Condição: o atacante precisava apenas de uma conta comum do Telegram; a vítima precisava apenas atender a chamada.
- Mais detalhes
- A descoberta e a divulgação são atribuídas à NebuSec, startup de segurança, segundo The Hacker News. A correção precedeu a divulgação pública.
Linha do tempo
Incidente aberto.
