Многие думают, что обычные сообщения или боты в мессенджерах полностью безопасны для системы. Но недавний инцидент показал: интерактивные элементы могут создавать серьезные риски для данных.
Команда Telegram недавно выпустила функцию, которая превращает сообщения в мини-приложения с помощью HTML-виджетов, опросов и игр. Вместе с этим расширением исследователи безопасности нашли критическую уязвимость в движке QuickJS, который обрабатывает JavaScript в этих блоках.
Проблема заключалась в управлении памятью QuickJS. При определенных условиях вредоносный скрипт мог выйти за пределы изолированной среды (песочницы) и выполнить произвольные команды в операционной системе устройства.
Как работала уязвимость на разных платформах
На Android атаки фиксировались в реальных условиях [сразу после открытия чата с ботом и нажатия кнопки Start]. Вредоносный код получал доступ к системным ресурсам, в частности к данным криптокошельков и персональной информации.
На ПК ситуация имела свои нюансы. В версии Telegram Desktop 7.4.2 разработчики устранили ряд аналогичных недостатков, однако одно из важных исправлений не вошло в общую сборку.
Оперативное закрытие дыры и меры безопасности
Чтобы предотвратить массовые угрозы, разработчики выпустили срочные обновления. Для пользователей Android появилась пропатченная версия 13.2.2, а для десктопных систем выпустили сборку Desktop 7.4.3.
В настоящее время известные векторы атак через новые виджеты закрыты в актуальных версиях клиентов. Медиабайерам, криптоэнтузиастам и другим активным пользователям мессенджера стоит проверить свои приложения и обновить их, избегая взаимодействия с подозрительными ботами.