Uma falha de segurança descoberta na versão do Telegram para Android permite que invasores obtenham controle total de um telefone celular após a vítima atender a uma chamada de voz, segundo dados divulgados pela empresa de segurança NebuSec. A vulnerabilidade afeta versões do aplicativo lançadas entre março de 2022 e setembro deste ano.
A exploração exige que a vítima receba e atenda a ligação. “O ataque precisa que a vítima seja chamada e atenda”, afirmou Eten Zou, cofundador e presidente-executivo da NebuSec, em publicação no X (antigo Twitter). A startup identificou que o problema pode ser combinado com outras duas falhas de segurança para romper as barreiras de proteção do aplicativo e alcançar o sistema operacional Android.
Falha no Telegram permite controle de celulares via chamada de voz
O contratempo reside no código responsável por processar os pacotes de dados trocados durante uma chamada telefônica. A falha original no código-fonte do Telegram pode ser verificada no GitHub oficial do projeto, em que o sistema lia campos incorretos na memória se a mensagem de rotação estivesse presente.
Correção e medidas de proteção
O Telegram lançou a versão 12.10.4 do aplicativo para corrigir o erro no sistema Android, alteração que consta no código atualizado do GitHub. O ajuste aplicado na biblioteca de chamadas do aplicativo segue o mesmo padrão adotado anteriormente nas versões para computadores e iPhone.
Para verificar a versão instalada, o usuário deve olhar o número exibido na parte inferior da página de configurações do aplicativo. Caso a versão seja anterior a 12.10.4, a recomendação dos pesquisadores da NebuSec é realizar a atualização imediata pela loja oficial. Como alternativa de proteção temporária, alterar a configuração de privacidade de chamadas do Telegram para “Ninguém” impede que o ataque seja executado.
Além desse problema, pesquisadores independentes e iniciativas de segurança acompanham outras frentes de fragilidade no aplicativo. A Zero Day Initiative publicou um alerta detalhado sobre falhas em ferramentas de exibição de figurinhas, conforme a advisory da ZDI, enquanto estudos complementares sobre os riscos do sistema foram apresentados por especialistas, detalhados no perfil de palestrantes do OffensiveCon.
A surpresa não foi apenas a existência das falhas, mas o quanto o modelo de risco do Telegram dependia de manter figurinhas maliciosas afastadas por meio de validações nos servidores
Saifeldeen Aziz, pesquisador independente
Posicionamento e resposta do Telegram
A empresa NebuSec afirmou que notificou os desenvolvedores do aplicativo assim que concluiu a análise técnica, mas a equipe do Telegram inicialmente questionou a possibilidade de transformar a falha em um mecanismo de execução remota de código. Por causa dessa divergência de entendimento, nenhum identificador CVE foi atribuído ao caso e nenhuma recompensa por bug foi paga aos pesquisadores.
“O Telegram reconheceu o aviso, mas não acreditou que a falha pudesse ser transformada em execução remota de código”, lamentou Eten Zou, ao detalhar a recusa da plataforma em classificar o problema com um identificador oficial de vulnerabilidade na época do reporte.
Até o momento da divulgação pública, os especialistas não registraram incidentes reais de exploração dessa falha em ataques contra usuários comuns. A startup utilizou ferramentas de análise automatizada baseadas em inteligência artificial (IA) para rastrear o código e identificar o ponto exato da vulnerabilidade na biblioteca de chamadas compartilhada pelo aplicativo.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
