В Telegram для Android исправили ошибку в звонках. Что проверить в команде
29 октября компания NebuSec сообщила об ошибке в обработке личных звонков Telegram для Android. По её утверждению, если пользователь отвечал на вызов, атакующий мог выполнить код на смартфоне. Исправление уже было в версии 12.10.4, вышедшей в конце сентября. Поэтому для сотрудников и администраторов сейчас важнее проверить установленную версию, чем ждать нового патча.
Что подтверждается исходным кодом
Во время звонка приложения Telegram обмениваются служебными сообщениями о состоянии микрофона и видео. В открытом коде библиотеки tgcalls видно исправление: обработчик проверял поле поворота видео, а считывал значение из другого поля. Изменение в репозитории Telegram датировано апрелем. The Hacker News сопоставил его с исходниками Android-версий 12.10.3 и 12.10.4: исправление появилось в Android-приложении в конце сентября.
Первый практический вывод: сообщение о проблеме опубликовано 29 октября, но исправление для Android уже доступно. Дата новости и дата выхода патча различаются. Проверять нужно фактическую версию приложения на устройстве.
Что пока остаётся заявлением исследователей
NebuSec показала видео, в котором телефон принимает вызов, после чего на экране появляется сообщение о взломе. В ролике не видны версии Telegram и Android. Полный технический разбор цепочки от ошибки чтения поля до запуска кода компания пока не опубликовала. Пресс-служба Telegram сообщила «Код.ру», что рабочую цепочку удалённого выполнения кода ей не продемонстрировали.
Второй вывод — отделять подтверждённую ошибку в коде от заявленного результата атаки. Отсутствие публичной цепочки не отменяет обновления приложения. Но и утверждать, что любой ответ на звонок приводил к взлому, оснований нет. Публичных сведений об атаках на реальных пользователей также нет.
Короткая проверка для команды
- На Android открыть Telegram → Настройки. Номер версии указан внизу экрана.
- Если версия ниже 12.10.4, обновить приложение через используемый магазин приложений или официальный сайт Telegram.
- На управляемых устройствах проверить, что обновление действительно установилось: наличие задания в системе управления устройствами не равно установленной версии.
- Пока обновление не дошло, при необходимости ограничить входящие звонки: Настройки → Конфиденциальность → Звонки → «Мои контакты».
Проверка особенно уместна там, где Android-устройства получают обновления с задержкой. Данных, что описанный сценарий затрагивает iPhone, настольный Telegram или групповые звонки, сейчас нет; переносить на них выводы об Android некорректно.
Короткая памятка по обновлению — в канале «Сигнал найден».