Поводом для заявления стала серия публикаций о поведении виджетов. 11 ноября «этичные хакеры» V12 показали на Android, как виджет запускает посторонний код: пользователь открывал чат с ботом и нажимал кнопку, после чего запускался калькулятор. По словам Дурова, это не позволяет захватить аккаунт без действий самого пользователя.
Отдельные вопросы возникли после публикации проекта telejam. Его автор описал два способа выполнить код через виджеты в версии Telegram для Windows. В этих сценариях специально подготовленные сообщения запускали калькулятор без нажатий, сразу после появления виджета в переписке. Однако для этого злоумышленнику всё равно требовалось сначала добиться появления виджета в чате через бота.
Подтверждённых случаев массового взлома Telegram с помощью виджетов нет. Дуров также уточнил, что для эксплуатации описанного в публикациях сценария нужно было предварительно активно запустить сторонний сервис; по его словам, эту возможность уже устранили на сервере. В подтверждение своей позиции он предложил сомневающимся проверить защищённость его личного профиля и приложил ссылку на аккаунт.
Ранее в Telegram обнаружили уязвимость, позволявшую похищать личные файлы.
Комментарии (0)
Пока нет комментариев. Будьте первым!