Новые интерактивные виджеты Telegram оказались потенциальным способом запуска постороннего кода. Компания V12 продемонстрировала атаку на Android, при которой после запуска бота открылся системный калькулятор. В Android 13.2.2 проблему устранили, но настольный клиент от 11 ноября получил не все исправления.
Причина кроется в ошибке управления памятью JavaScript-движка QuickJS. Специально подготовленный виджет может обратиться к памяти завершившейся функции и потенциально добиться выполнения произвольного кода. В Telegram Desktop 7.4.2 уязвимый механизм сохранился, хотя пять других ошибок исправили. Успешная эксплуатация на Windows, macOS и Linux пока не подтверждена.
До выхода полноценного исправления виджеты незнакомых ботов лучше не запускать. Особого внимания заслуживают интерактивные карточки, предлагающие выполнить дополнительные действия. Пользователям Android стоит проверить наличие версии 13.2.2 или новее.
