Telegram messencerinin kompüterlər üçün nəzərdə tutulmuş Desktop versiyasında ciddi təhlükəsizlik boşluğu aşkarlanıb. Məlumata görə, problem hakerlərə xüsusi hazırlanmış interaktiv mesajlar vasitəsilə tətbiqin yaddaşına müdaxilə etmək və müəyyən şəraitdə zərərli kod icra etmək imkanı yarada bilər.
Redaksiya SecurityLab nəşrinə istinadən xəbər verir ki, təhlükəsizlik problemi Telegram-ın yeni interaktiv vidcetlərində istifadə olunan QuickJS JavaScript mühərriki ilə əlaqəlidir. Riskin noyabrın 11-də yayımlanmış Telegram Desktop 7.4.2 versiyasında da qaldığı bildirilir.
Telegram noyabrın 9-da təqdim etdiyi Bot API 10.4 yeniləməsi ilə botlara söhbət daxilində interaktiv HTML vidcetləri göndərmək imkanı yaradıb. Bu texnologiya istifadəçilərə oyunlardan, sorğulardan və digər kiçik xidmətlərdən birbaşa mesajlar vasitəsilə yararlanmağa şərait yaradır.
Lakin kibertəhlükəsizlik mütəxəssislərinin araşdırmasına görə, vidcetlərdə JavaScript kodunun işlənməsi zamanı yaddaşın idarə olunması ilə bağlı boşluq yarana bilər.
Bu boşluqdan uğurla istifadə edilməsi tətbiqin izolyasiya mexanizminin pozulmasına və nəzərdə tutulmayan əmrlərin icrasına səbəb ola bilər.
Daha əvvəl V12 kibertəhlükəsizlik şirkətinin mütəxəssisləri Android cihazlarında oxşar hücumun mümkünlüyünü nümayiş etdiriblər. Təqdim olunan videoda Telegram botu ilə qarşılıqlı əlaqədən sonra smartfonda kalkulyator tətbiqi avtomatik açılıb.
Telegram Android versiyasında aşkar edilmiş problemi aradan qaldırdığını və təhlükəsizlik yeniləməsini istifadəçilərə təqdim etdiyini açıqlayıb.
Bununla belə, mütəxəssislər Telegram Desktop 7.4.2 versiyasının proqram kodunda müvafiq təhlükəsizlik düzəlişlərindən birinin yer almadığını bildirirlər.
Hazırda həmin boşluqdan istifadə edilərək Windows, macOS və ya Linux sistemlərinin tam ələ keçirildiyini göstərən təsdiqlənmiş hücum nümunəsi yoxdur.
Bu səbəbdən sadəcə bir mesajın alınmasının kompüterin avtomatik ələ keçirilməsi ilə nəticələndiyini söyləmək düzgün deyil. Bununla belə, müəyyən interaktiv vidcetlərin təhlükəli kodun icrası üçün istifadə olunması ehtimalı araşdırılır.
Təhlükəsizlik mütəxəssisləri istifadəçilərə Telegram proqramını mütəmadi yeniləməyi, naməlum botların göndərdiyi interaktiv vidcetlərdən istifadə etməməyi və şübhəli mesajlarla qarşılıqlı əlaqədən çəkinməyi tövsiyə edirlər.
Qeyri-rəsmi Telegram müştərilərindən istifadə edən şəxslərin də təhlükəsizlik yeniləmələrinin mövcudluğunu yoxlaması məsləhət görülür.
Telegram Desktop üçün sözügedən boşluğu tam aradan qaldıran yeniləmənin bütün istifadəçilərə təqdim olunub-olunmadığı isə hələlik dəqiqləşdirilməyib.