Криптовалютная биржа Bybit выпустила экстренное предупреждение для своих пользователей, призвав немедленно обновить приложение Telegram на Android. Причиной стала уязвимость, позволяющая удаленно выполнять произвольный код через сообщения в чатах.
Специалисты компании V12 продемонстрировали 11 ноября, как сообщение от бота может самостоятельно запустить приложение «Калькулятор» на устройстве. Проблема связана с виджетами, которые Telegram разрешил отправлять в чатах 9 ноября. Эти мини-приложения могут стать вектором для атак.
Разработчики Telegram заявили, что исправили ошибку 11 ноября и развернули обновление для всех пользователей. Хотя данных о реальных взломах нет, угроза критична для владельцев криптокошельков в Telegram, так как сторонний код может получить доступ к сессиям и обойти двухфакторную аутентификацию.
Это вторая за месяц уязвимость в Android-версии мессенджера, позволяющая выполнять код. В Bybit напомнили пользователям о необходимости избегать взаимодействия с подозрительными ботами и ссылками, а также доверять только верифицированным каналам связи для обеспечения безопасности активов.
