„Telegram“ pažaboja naujas pokalbių programas, kai įsilaužimo nereikia
„Telegram“ užblokavo įprastus robotus, kad jie negalėtų siųsti savo naujų interaktyvių pranešimų programėlių, žinomų kaip HTML valdikliai, net privačiuose pokalbiuose. Lapkričio 13 d. atsakymas „Bot API“ saugykloje patvirtino apribojimą, nes mokslininkai ir „Telegram“ ginčijo šios funkcijos saugos trūkumus.
Reaguodamas į kūrėjo pranešimą apie nepavykusius valdiklių pranešimus, „Telegram Bot“ API saugyklos bendradarbis levlam patvirtino apribojimą: „Taip, šiuo metu bendriesiems robotams neleidžiama naudoti valdiklių net privačiuose pokalbiuose“. Kūrėjas pranešė gavęs klaidą INPUT_MEDIA_WIDGET_NOT_ALLOWED prieš tai sėkmingai išsiuntus valdiklius.
„Telegram“ „Bot API“ pakeitimų žurnale nurodyta, kad HTML valdiklių pranešimų siuntimas Bot API 10.4 buvo pristatytas lapkričio 9 d. Valdiklių vadove vis dar buvo nurodytas privataus pokalbio gamybos prieinamumas lapkričio 14 d., nepaisant levlam patvirtinimo, kad bendrieji robotai negali jo naudoti. Patvirtinimas susijęs su HTML valdikliais; jis nepraneša apie įprastų robotų pranešimų ar visų robotų paslaugų išjungimą.
Skirtingai nuo „Mini Apps“, kurios atidaro tinklalapį pagal poreikį, valdikliai veikia pačiame pranešime. Telegramos valdiklio dokumentacijoje aprašoma izoliuota aplinka, kuri paleidžia savo kodą vartotojo įrenginyje be tiesioginės interneto prieigos. Užklausos robotui perduodamos per „Telegram“.
Funkcija turi tiesioginį piniginės ryšį dokumentuotame dizaine. Telegramos pakeitimų žurnale aprašomos valdiklių užklausos, susijusios su vartotojo TON piniginės kortele, piniginės pasirašytais duomenimis arba pranešimu apie piniginės operaciją. Šios galimybės paaiškina svarbą kriptovaliutų vartotojams, tačiau pačios neįrodo neteisėto pasirašymo ar turto vagystės.
Tyrimo rezultatai priklauso nuo kliento konstrukcijos
Lapkričio 14 d. tg-widget-rce tyrėjai savo tyrimų archyve teigia, kad paskelbti pažeidžiamumai paveikė senesnius klientus ir yra ištaisyti dabartinėse „Telegram“ versijose. Archyve yra „Android“ versijos, „Telegram“, skirta „iOS 13.2“, „Telegram Desktop 7.4.0“ ir „Telegram“, skirta „MacOS 13.1“, su skirtingomis versijomis. Ji nenustato galutinės minimalios saugios versijos kiekvienam klientui.
Tyrėjai teigia, kad valdiklio kodas gali būti vykdomas pokalbio išdėstymo metu be bakstelėjimo, tačiau norint pristatyti reikia, kad robotas galėtų siųsti valdiklius, o pranešami pažeidžiamumai priklauso nuo kliento versijos. Jų techninis indeksas išskiria programos lygio kodo vykdymą tam tikrose senesnėse „Android“ versijose nuo rezultatų, esančių atskiro valdiklio procese kitose. Valdiklio proceso rezultatas neužtikrina viso įrenginio valdymo.
Kur pasiekė tyrėjų išbandytas rezultatas
Tyrėjai praneša apie programos lygio vykdymą šiose pasirinktose senesnėse „Android“ versijose; tai nėra viso įrenginio perėmimas.
Atliekant šiuos archyvuotus bandymus, rezultatas liko izoliuotame valdiklio procese, o programos lygio kompromisas nebuvo įrodytas.
Siuntimo apribojimas nenustato esamų valdiklių būsenos ir neįrodo, kad kiekvienas klientas yra saugus.
Jokio tiesioginio siuntimo testo ar išnaudojimo atkūrimo. Klientų pavyzdžiai yra archyvuotos tyrėjų ataskaitos, o ne dabartinės saugios versijos patarimai. Apribojimų patvirtinime nenurodomas esamo valdiklio pateikimo arba atkūrimo laikas.
„Telegram“ įkūrėjas Pavelas Durovas neigė, kad vien tik žinutės gavimas gali pakenkti vartotojams. Jis sakė, kad vartotojai pirmiausia turėjo pradėti trečiosios šalies paslaugą ir tvirtino, kad problema buvo visiškai pataisyta serverio pusėje. Paslaugos paleidimas ir pateikto valdiklio bakstelėjimas yra atskiri veiksmai. Durovo patikinimas yra „Telegram“ nurodyta pozicija; tyrėjų demonstracijose nenustatyta pavogto kriptovaliutų turto ar plačiai paplitusio piktybinio išnaudojimo.
„Levlam“ patvirtinime nepateikiamas atkūrimo tvarkaraštis, paaiškinimas, kaip susiaurinti prieigą, ar anksčiau pristatytų valdiklių atvaizdavimo politika. Jo atsakyme nenustatyta, kad saugumo ataskaitos lėmė pasikeitimą.
