Павел Дуров* предложил исследователям безопасности взломать его личный аккаунт Telegram, чтобы доказать опасность новых виджетов мессенджера. Основатель платформы утверждает, что сообщения о возможности взлома одним входящим сообщением не соответствуют действительности.
В своём заявлении Дуров отверг существование предполагаемой уязвимости удалённого выполнения кода (RCE) в виджетах Telegram для Android и Windows. По его словам, для успешной атаки пользователю сначала требовалось самостоятельно запустить сторонний сервис. Причём даже такой сценарий разработчики уже полностью заблокировали на стороне сервера.
Тем, кто не согласен с подобной оценкой, предприниматель предложил проверить безопасность мессенджера на практике. Дуров опубликовал адрес собственного аккаунта @monk и призвал желающих попробовать его взломать, сопроводив приглашение эмодзи с попкорном. Фактически основатель Telegram публично бросил вызов исследователям, которые последние несколько дней сообщают об ошибках в новой функции.
Поводом для заявления стала серия публикаций об опасных уязвимостях в интерактивных виджетах. 11 ноября специалисты V12 продемонстрировали выполнение постороннего кода на Android. В опубликованном ролике пользователь открывал чат с ботом, нажимал кнопку запуска, после чего виджет показывал обратный отсчёт и самостоятельно открывал системный калькулятор.
Подобная демонстрация используется специалистами для подтверждения возможности выполнения команд за пределами предусмотренных ограничений. Вместо калькулятора потенциально можно запустить другую программу. Однако сам эксперимент не доказывает возможность захвата аккаунта или заражения устройства без предварительного взаимодействия с ботом. Именно на отсутствии такого сценария настаивает Дуров.
Дополнительные вопросы возникли после публикации исследовательского проекта telejam. Его автор описал два независимых способа выполнения кода через виджеты в Telegram Desktop 7.4.2 для Windows. По утверждению исследователя, специально подготовленные сообщения запускали калькулятор после появления виджета в открытой переписке, без дополнительных нажатий. В репозитории опубликованы технические материалы и код для воспроизведения ошибок.
При этом обе позиции не обязательно полностью противоречат друг другу. Даже если вредоносный виджет выполняет код без дополнительных действий после доставки сообщения, злоумышленнику сначала требуется обеспечить его появление в чате через бота. Дуров подчёркивает именно необходимость предварительного запуска стороннего сервиса. Независимого подтверждения того, что опубликованные способы атаки продолжают работать после серверных исправлений, пока нет.
Техническая причина обнаруженных ошибок связана с QuickJS, движком JavaScript, который Telegram использует для обработки интерактивных сообщений. Исследователи описали проблемы управления памятью, позволяющие выйти за пределы программной изоляции и добиться удалённого выполнения кода. Однако наличие ошибки в клиентском приложении ещё не означает, что через неё можно атаковать любого пользователя в реальных условиях.
Разработчики Telegram уже внесли изменения в программный код и выпустили обновления. В Android 13.2.2 обработку виджетов перенесли в отдельный изолированный процесс, ограничив доступ к файлам приложения, переписке и ключам аккаунта. Для настольного клиента 12 ноября вышла версия 7.4.3. Дуров дополнительно утверждает, что потенциально опасный сценарий устранён на серверной стороне, поэтому распространение исправления не должно зависеть исключительно от установки новых версий приложения.
Новая функция появилась 9 ноября вместе с Bot API 10.4. Виджеты позволяют ботам отправлять интерактивные элементы непосредственно в сообщения, включая игры, формы взаимодействия и небольшие приложения. На следующий день Дуров представил технологию как способ превращать сообщения в мини-приложения с поддержкой платежей. Пока в рабочей сети отправка таких элементов ограничена личными чатами с ботами, а пересылка заблокирована.
Подтверждённых случаев массового взлома пользователей через новые виджеты Telegram нет. Опубликованные исследования показывают ошибки обработки программного кода, но их практическая эксплуатация зависит от конкретной версии приложения, серверных ограничений и действий пользователя. После заявления Дурова главный вопрос заключается в том, действительно ли серверное исправление перекрывает все продемонстрированные способы атаки. Для окончательного ответа потребуется независимая проверка.
* Павел Дуров внесён в перечень террористов и экстремистов Росфинмониторинга.
