В HTML-виджетах Telegram нашли RCE-уязвимость: обход песочницы JavaScript и срочное исправление

Исследователи безопасности V12 продемонстрировали возможность удалённого выполнения кода через новую функцию Telegram — интерактивные HTML-виджеты, встроенные прямо в сообщения. Уязвимость затрагивала Telegram для Android; разработчики уже выпустили исправление.

Новая функция

9 ноября Telegram представил Bot API 10.4, разрешив ботам отправлять интерактивные HTML-виджеты. В отличие от Mini Apps, такие виджеты работают прямо внутри переписки, без открытия отдельного приложения. Они поддерживают HTML, CSS и JavaScript, который исполняется в изолированной среде QuickJS.

Демонстрация уязвимости

Уже 11 ноября исследователи V12 опубликовали демонстрацию под названием Telegram Widgets RCE. На видео пользователь Android запускает бота, получает сообщение с обратным отсчётом, после чего на смартфоне самостоятельно открывается приложение «Калькулятор». Запуск калькулятора — распространённый способ наглядно показать выход за пределы программной песочницы и выполнение произвольного кода.

Причина

С точки зрения архитектуры получилась «засада»: Telegram специально предусмотрел для виджетов ограничения, включая отсутствие прямого доступа к сети. Однако уязвимость в механизме исполнения JavaScript позволяла обойти эту изоляцию и выполнить код вне песочницы.

Исправление

По имеющимся сообщениям, проблема устранена в Telegram для Android 13.2.2 (7303), где также усилена изоляция среды исполнения виджетов. Полноценное техническое описание эксплуатации исследователи пока не опубликовали, поэтому утверждения о возможности взлома без взаимодействия пользователя, массовой эксплуатации и о затронутых версиях для других платформ остаются неподтверждёнными.

Частые вопросы

Что такое HTML-виджеты Telegram?

Интерактивные блоки, которые боты отправляют прямо в сообщения. Они поддерживают HTML, CSS и JavaScript и работают внутри переписки, не открывая отдельное приложение.

Кто обнаружил уязвимость?

Исследователи безопасности V12, опубликовавшие демонстрацию под названием Telegram Widgets RCE.

Какие устройства затронуты?

Уязвимость подтверждена для Telegram для Android. Версии для других платформ на данный момент не подтверждены как затронутые.

Нужно ли обновлять приложение?

Да. Исправление выпущено в версии Telegram для Android 13.2.2 (7303), в которой также усилена изоляция виджетов.

Была ли массовая эксплуатация уязвимости?

Нет подтверждений массовой эксплуатации. Исследователи пока не опубликовали полное техническое описание, поэтому ряд утверждений остаётся неподтверждённым.

Источники: habr.com