Telegram voor Android bleek kwetsbaar voor een aanvalsketen waarmee een kwaadwillende volledige controle over het toestel van een slachtoffer kon krijgen door simpelweg te bellen. Dat meldt het Y Combinator-gesteunde beveiligingsbedrijf NebuSec, dat de fout ontdekte met zijn eigen Code Security-product, gebouwd op OpenAI’s GPT-5.4.
De aanval draaide om een combinatie van drie bugs. Tijdens een Telegram-gesprek wisselen apps voortdurend zogeheten MediaState-berichten uit, met informatie over bijvoorbeeld of de microfoon gedempt staat, of de camera actief is en hoe de video gedraaid moet worden. De code die deze berichten verwerkte ging mis bij ontbrekende velden: in versie 12.10.3 las Telegram bij een rotatiewaarde in plaats daarvan de videostatus uit, ook als dat veld helemaal niet in het bericht zat. Daardoor werd geheugen benaderd dat daar niet voor bedoeld was. Vanaf dat beginpunt gaf een informatielek een uitweg naar het onderliggende Android-systeem, waarna een root-exploit volledige controle opleverde, inclusief toegang tot berichten, microfoon en camera. Een aanvaller had daarvoor niets meer nodig dan een gewoon Telegram-account; het slachtoffer moest alleen het gesprek beantwoorden.
Volgens NebuSec-oprichter Eten Zou waren versies 8.6.2 tot en met 12.10.3 getroffen. Het bedrijf testte de keten op ARM64-telefoons tijdens privé-spraakoproepen, maar heeft geen aanwijzingen dat de fout ook daadwerkelijk is misbruikt.
Telegram bracht versie 12.10.4 eind september uit, met de juiste veldverwijzing voor de rotatiewaarde. NebuSec meldde het lek pas op 26 september, dus nadat die fix al live stond. Telegram erkende de melding, maar was er niet van overtuigd dat de fout daadwerkelijk tot het uitvoeren van code kon leiden. Er is dan ook geen CVE-nummer toegekend en geen bounty uitgekeerd. NebuSec maakte de bevindingen op 29 oktober zelf openbaar. Een vergelijkbare correctie, bekend als “Fix camera rotation”, belandde al op 21 april in de gedeelde bibliotheek tgcalls, en daarmee ook in de iOS-app (vanaf versie 12.7) en de desktopversie (vanaf 7.0.1). Of die oudere code daadwerkelijk te misbruiken was, is niet vastgesteld.
Nederlandse Telegram-gebruikers op Android doen er goed aan te controleren of ze al op versie 12.10.4 of hoger zitten; het versienummer staat onderaan de instellingenpagina. Wie extra voorzichtig wil zijn, zet de privacy-instelling voor oproepen op “Nobody” of neemt gesprekken van onbekende nummers simpelweg niet op. Beide maatregelen blokkeren volgens NebuSec de aanval, los van de update.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.