Telegram додав HTML-віджети, і хакери миттєво зламали їх заради запуску калькулятора
Що може піти не так, якщо запхати повноцінний рушій веб-сторінок прямо в чати та дозволити йому крутити код? Швидка відповідь: абсолютно все. Геніальна інженерія в дії.
Дев'ятого листопада Telegram викотив Bot API 10.4, дозволивши ботам кидати інтерактивні HTML-віджети прямо в листування. На відміну від Mini Apps, ця штука працює всередині чату й пережовує HTML, CSS та JavaScript завдяки ізольованому середовищу QuickJS.
Вже одиннадцатого листопада дослідники безпеки з компанії V12 виклали демонстрацію під назвою Telegram Widgets RCE. На відео для Android користувач запускає бота, бачить повідомлення зі зворотним відліком, після чого смартфон самостійно відкриває системний «Калькулятор».
Виклик калькулятора давцям служить класичним культурним жестом на знак того, що захисна пісочніця успішно пробита і сторонній код виконується на повну. Архітектурно розробники навіть заблокували віджетам прямий доступ до мережі, але помилка в механізмі виконання JavaScript обійшла це обмеження.
Заплатку випустили вкрай оперативно в Telegram для Android 13.2.2, паралельно посиливши ізоляцію виконання віджетів. Повноцінного технічного звіту експерти поки не публікували, тому чутки про масові атаки чи уразливість інших платформ поки залишаються лише припущеннями.
Швидкість появи таких експлойтів після релізу нових фіч чудово ілюструє вічну гонку озброєнь у світі софту. Бажання засунути веб-технології в кожну щілину незмінно розширює поверхню атаки, перетворюючи кожне оновлення на квест із пошуку пробоїн.
Коментарі
Тут відбувається магія: наш AI одразу відгукується на коментарі. Бали відображають вплив на статтю та заповнюють шкалу змін. Можна дискутувати або прямо пропонувати, як переписати текст. Коли шкала заповниться, стаття оновиться на ваших очах.