В новых виджетах Telegram обнаружили проблему, которая, по заявлению исследователя v12, позволяет запускать произвольные приложения на Android. Предупреждение об уязвимости виджетов появилось вскоре после анонса функции. Воспроизводимость проблемы в клиентах для iOS и Windows пока неизвестна.
Павел Дуров представил интерактивные сообщения, внутри которых могут работать игры, опросы и небольшие сервисы. Пользователю достаточно взаимодействовать с содержимым сообщения без открытия отдельного окна мини-приложения. Поддержку виджетов Telegram добавил девятого ноября в Bot API 10.4, интерфейс для разработчиков ботов.
Виджет содержит HTML-разметку, стили CSS и код JavaScript. В сжатом виде размер ограничен четырьмя килобайтами. Согласно документации виджетов, JavaScript выполняется в движке QuickJS внутри песочницы, изолированной среды с ограниченными возможностями. Код виджета не получает прямого доступа к сети, а Telegram проверяет изменения интерфейса перед отображением.
Для открытия внешних ссылок разработчики предусмотрели отдельные ограничения: переход должен происходить после настоящего нажатия, а адрес должен использовать HTTPS. Перед открытием внешнего сайта Telegram должен показать полный адрес и запросить подтверждение пользователя. Связь заявленной уязвимости с механизмом переходов по ссылкам пока не установлена.
Распространение функции пока ограничено. В основной среде Telegram боты могут отправлять виджеты только в личные чаты с пользователями, а сообщения с виджетами защищены от пересылки. Отправка в группы, пересылка и использование через встроенный поиск ботов доступны лишь на тестовом сервере. Ограничения закреплены в описании обновления.
Опубликованные предупреждения не уточняют версии затронутых клиентов, необходимые действия пользователя и статус исправления. Пока заявленный эффект ограничивается запуском приложений: сведений, подтверждающих возможность похищения данных или полного захвата устройства, в приведённых сообщениях нет. В предупреждении пользователям рекомендуют временно избегать взаимодействия с виджетами сомнительных ботов.
