[Fonte única] Falha em widgets do Telegram permite RCE no Android

A publicação mais recente do lote divulga uma suposta prova de conceito para uma falha no mecanismo de widgets do Telegram. Segundo o relato, uma mensagem malformada poderia corromper memória e chegar à execução remota de código nativo. Outra publicação afirma que o Telegram já distribuiu uma correção para Android.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

A pesquisa foi vinculada a um repositório no GitHub. As publicações que a resumem atribuem o problema ao processamento de widgets baseados em QuickJS-ng e dizem que a exploração pode ocorrer durante a renderização da mensagem, sem o usuário abrir o widget.[3]github.comgithub.com · rssAbrir fonte originalVer na lista de fontes[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Se o comportamento descrito for reproduzível nas versões afetadas, o risco é elevado: receber e renderizar uma mensagem preparada poderia bastar para executar código nativo. Isso reduziria a interação exigida da vítima e transformaria um erro do interpretador em comprometimento do aplicativo.[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Usuários devem manter o Telegram atualizado, especialmente no Android, porque uma das publicações afirma que a correção já foi distribuída. Como o lote não identifica versões vulneráveis ou corrigidas, administradores e equipes de segurança ainda precisam confirmar a versão instalada por canais oficiais do fornecedor.[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

O lote descreve a técnica, o impacto e uma suposta correção no Android, mas não fornece número de CVE, lista de versões afetadas, comunicado oficial direto, commit de correção ou resultado de uma verificação independente. Também não esclarece quais mitigações existem em cada plataforma.[3]github.comgithub.com · rssAbrir fonte originalVer na lista de fontes[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

A conta ptdbugs descreveu uma escrita fora dos limites causada por uma função strict malformada com eval. A conta DarkWebInformer afirmou que houve demonstrações de RCE em Android e iOS e reproduziu uma declaração atribuída ao Telegram segundo a qual o problema no Android havia sido corrigido e a atualização enviada aos usuários.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

No registro do lote, o repositório da pesquisa e a primeira publicação aparecem antes da divulgação posterior da suposta PoC. O quadro também evolui de uma descrição de vulnerabilidade para a alegação de que versões posteriores receberam mitigações e de que a correção para Android já foi implantada.[3]github.comgithub.com · rssAbrir fonte originalVer na lista de fontes[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

1 grupos independentes, 3 atualizações e 38 interações.

A cadeia técnica descrita começa com uma função em modo strict, malformada e combinada com eval, que acionaria um erro no parser QuickJS-ng. O erro permitiria uma escrita fora dos limites, corromperia um ArrayBuffer e seria então aproveitado para alcançar execução de código nativo. A pesquisa também é descrita como contendo outros casos de corrupção de memória e uso após liberação.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

O item primário do lote aponta para o repositório da pesquisa, mas foi fornecido sem conteúdo textual. Os detalhes técnicos, a exploração nas duas plataformas e o estado da correção vêm de duas publicações secundárias no X. Portanto, o lote sustenta que essas alegações foram publicadas, mas não permite confirmar de forma independente a exploração ou a implantação da correção.[3]github.comgithub.com · rssAbrir fonte originalVer na lista de fontes[2]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes