Telegram отключил HTML-виджеты для всех ботов после демонстрации эксплойта
Telegram отключил HTML-виджеты для всех ботов на стороне сервера. Об этом сообщает «Код Дурова». Отключение произошло примерно в 19:00 по Москве, сообщил Gramnews. Присылать новые виджеты боты больше не могут, но те, что уже пришли в переписку раньше, продолжают работать.
«Даже если отдельные ошибки закрывают, QuickJS в сообщениях без песочницы сильно расширяет поверхность атаки», — написали в V12.
Ролик с новой демонстрацией эксплойта команда V12 опубликовала в X в ночь на 13 ноября. На нём Telegram Desktop версии 7.4.3 — она вышла 12 ноября, уже после исправления ошибок в движке виджетов, и с дополнительной защитой их зависимостей. Пользователь открывает чат с ботом V12 и нажимает «Старт», бот присылает виджет, после чего на компьютере сам открывается «Калькулятор». Так в индустрии обычно показывают удалённое выполнение кода (RCE).
Исследователи считают, что дело не в отдельных ошибках, а в самой функции. Через несколько часов Павел Дуров* (внесён в перечень террористов и экстремистов Росфинмониторинга) ответил на сообщения о RCE в виджетах для Android и Windows. По его словам, взломать пользователя одним присланным сообщением нельзя: сначала нужно самому запустить сторонний бот. Он добавил, что и эту возможность уже полностью закрыли на стороне сервера, и предложил желающим попробовать взломать его собственный аккаунт.
V12 показывает такую атаку уже второй раз за неделю. 9 ноября Telegram открыл HTML-виджеты всем ботам, через два дня V12 показала атаку на Android, а 10 ноября компания закрыла в движке виджетов QuickJS сразу несколько ошибок работы с памятью. Технических деталей новой атаки V12 пока не раскрыла.
*Внесен в список террористов и экстремистов
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
