NebuSec ujawniła 29 października 2026 r. lukę w Telegramie na Androida, która według firmy mogła być częścią łańcucha prowadzącego do zdalnego wykonania kodu po odebraniu połączenia głosowego. Telegram na Androida 12.10.4, z poprawką błędu parsera, ukazał się pod koniec września, przed publicznym ujawnieniem sprawy.
Których wersji dotyczyło zgłoszenie?
NebuSec wskazała Telegrama na Androida w wersjach od 8.6.2 do 12.10.3 jako podatnego, a wersję 12.10.4 jako poprawioną. Firma zgłosiła problem Telegramowi 26 września 2026 r., już po wydaniu 12.10.4.
Według NebuSec uruchomienie opisywanego ataku wymagało, by odbiorca odebrał indywidualne połączenie głosowe. Odrzucenie go miało uniemożliwiać zadziałanie tego wyzwalacza. Firma podała też, że podczas prywatnych testów korzystała z telefonów z procesorami ARM64. Na dzień ujawnienia, 29 października, NebuSec nie widziała wykorzystania tej luki w rzeczywistych atakach.
Co zmieniło się w kodzie między wersjami 12.10.3 i 12.10.4?
Wiadomości MediaState przekazują między innymi stan wideo podczas połączenia. Parser, czyli część programu odczytująca takie dane, w wersji 12.10.3 sprawdzał, czy występuje pole videoRotation, ale wartość kąta obrotu odczytywał z pola videoState. W wersji 12.10.4 odczyt następuje z videoRotation.
| Wersja Telegrama na Androida | Pole odczytywane dla kąta obrotu |
| 12.10.3 | videoState |
| 12.10.4 | videoRotation |
Różnicę w kodzie wersji 12.10.3 i 12.10.4 widać bezpośrednio w opublikowanych plikach Telegrama. Poprawka dotyczy odczytu pola przez parser; cały łańcuch ataku opisała NebuSec. Firma twierdziła, że do błędu można było dołączyć błąd ujawniający informacje, a następnie exploit Androida pozwalający uzyskać uprawnienia roota. Eten Zou przekazał również, że Telegram nie uważał, by ta wada umożliwiała zdalne wykonanie kodu.
Jak zabezpieczyć Telegrama na Androida?
Sprawdź wersję aplikacji i zaktualizuj ją co najmniej do 12.10.4, którą wskazano jako poprawioną. Eten Zou podał, że odrzucanie indywidualnych połączeń lub ustawienie prywatności połączeń na „Nikt” ograniczało zgłoszony wyzwalacz. Te środki nie zastępują aktualizacji aplikacji.
