Исследователи безопасности V12 продемонстрировали возможность удалённого выполнения кода через новую функцию Telegram — интерактивные HTML‑виджеты, встроенные непосредственно в сообщения. Уязвимость затрагивала Telegram для Android. Разработчики уже выпустили исправление.

Буквально недавно, 9 ноября, Telegram представил Bot API 10.4, разрешив ботам отправлять интерактивные HTML‑виджеты. В отличие от Mini Apps, такие виджеты работают прямо внутри переписки, без открытия отдельного приложения. Они поддерживают HTML, CSS и JavaScript, который исполняется в изолированной среде QuickJS.

И уже 11 ноября исследователи V12 опубликовали демонстрацию с названием Telegram Widgets RCE. На видео пользователь Android запускает бота, получает сообщение с обратным отсчётом, после чего на смартфоне самостоятельно открывается приложение «Калькулятор» (запуск калькулятора — распространённый «культурный» способ продемонстрировать выход за пределы программной песочницы и выполнение произвольного кода).

Получилась засада с точки зрения архитектуры: Telegram специально предусмотрел для виджетов ограничения, включая отсутствие прямого доступа к сети, однако уязвимость в механизме исполнения JavaScript позволяла обойти эту изоляцию.

По имеющимся сообщениям, проблема устранена в Telegram для Android 13.2.2 (7303). В этой версии также усилена изоляция среды исполнения виджетов. Полноценное техническое описание эксплуатации исследователи пока не опубликовали. Поэтому утверждения о возможности взлома без взаимодействия пользователя, массовой эксплуатации и затронутых версиях для других платформ остаются неподтверждёнными.

Примечательно, что демонстрация появилась практически сразу после открытия новой функциональности для ботов. Будем считать подобные новости примером того, как расширение возможностей встроенных скриптов увеличивает поверхность атаки даже при использовании специально изолированного движка.