חברת NebuSec פרסמה ב-29 באוקטובר פגם ב-Telegram לאנדרואיד: תוקף עם חשבון רגיל יכול להריץ קוד על הטלפון של הקורבן ברגע שהוא עונה לשיחה קולית. התיקון כבר יצא.
הפרטים
הפגם נמצא בקוד שקורא הודעות מצב מדיה (MediaState) בשיחות. לפי NebuSec, כשערך סיבוב קיים והשדה של מצב הווידאו חסר, הקוד ניגש לזיכרון שאסור לו לגעת בו. הגרסאות המושפעות הן 8.6.2 עד 12.10.3 (מרץ 2022 עד ספטמבר 2026), ואושרו על מכשירי ARM64. הפגם תוקן בגרסה 12.10.4. אין לו מזהה CVE וציון CVSS לא פורסם. החברה מציגה סרטון הדגמה, ולא ברור מה בדיוק ניתן להריץ בפועל. לא דווח על ניצול בשטח.
נקודות לשים לב
- עדכן ל-Telegram 12.10.4 ומעלה. את הגרסה אפשר לראות בתחתית עמוד ההגדרות.
- אם אי אפשר לעדכן מיד, הימנע ממענה לשיחות קוליות ממספרים לא מוכרים. זו הערכה שלנו ולא המלצה של היצרנית.
- NebuSec אינה מכירה השפעה ישירה על iOS, על שולחן העבודה או על שיחות קבוצתיות. אותו תיקון נכנס לספריית tgcalls כבר באפריל 2026.
- הפגם התגלה בכלי סריקת קוד מבוסס בינה מלאכותית של החברה המגלה. המידע מגיע מהמגלים, ולא פורסם עדיין כתב טכני מלא.
מקורות: The Hacker News · tgcalls fix commit
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
