Cybred

Кто-то вообще удивлен?!

Несмотря на заявление Telegram о том, что дыра была закрыта вчера, они забыли о десктопном клиенте. Мне удалось воспроизвести работу эксплойта на последней версии Telegram Desktop 7.4.2.

PoC выложен на GitHub тут.

Фикса нет.

Виджеты работают на QuickJS. Два дня назад кто-то прогнал исходники через LLM и нашёл use-after-return: парсер разрешал for (await using …) внутри обычных функций, из-за чего после возврата замыкания продолжали обращаться к уже уничтоженному кадру стека. Это давало шанс выйти из песочницы и выполнить нативный код с правами Telegram.

Сообщение об уязвимости все время лежало в паблике.

Уязвимый код попал в основную ветку ещё 16 мая, а коммит с исправлениями появился только вчера. Сразу после фикса, обновили сборку для Windows и залили новый APK.

Кроме этого, в widget-sandbox добавили следующее

Reported against Telegram Android 13.2.1 as native code execution from a widget's script.

Это предпоследняя версия, актуальная 13.2.2.

Поэтому советую обновиться всем, кто ещё этого не сделал.

Телегой больше не пользуемся

Вместе с новыми HTML-виджетами в сообщениях Telegram завезли и новое RCE.

Исследователи нашли его меньше чем через 24 часа после анонса от Дурова.

О фиксе не сообщается. Как видно из PoC — достаточно просто получить сообщение, и злоумышленник может исполнить код у тебя на устройстве.