Russian OSINT

📱Заявление V12 об RCE через виджет Telegram на Android и патчи движка QuickJS 9 ноября команда мессенджера выпустила обновление Bot API 10.4 с поддержкой HTML-виджетов и платежей через TON-кошелёк, а 10 ноября основатель платформы Telegram публично представил новинку как способ превратить любое сообщение в компактное приложение со встроенной оплатой. Согласно документации Telegram Widgets, виджет представляет собой HTML-документ со встроенными стилями и JavaScript размером до 32 КБ до сжатия и до 4 КБ после него, причём скрипты выполняются в песочнице на движке QuickJS без прямого доступа к сети. Однако спустя 21 час 23 минуты после публикации основателя в соцсети X, 11 ноября в 14:00 мск, ИБ-стартап V12 выложил видео, которое представил как проверку концепции (PoC) удалённого выполнения кода (RCE) через виджет в Telegram для Android. В 15-секундном ролике создателей автономной системы аудита кода с платформы v12.sh пользователь нажимает в чате кнопку «Start Bot» и получает карточку с обратным отсчётом от трёх до одного, после чего на экране открывается калькулятор Android как демонстрация заявленного исследователями удалённого выполнения кода. Авторы проекта из числа основателей компании Zellic и CTF-команды perfect blue в корпоративном блоге называют своей целью поиск новых классов уязвимостей с помощью ИИ-системы, но к самой видеозаписи добавили лишь фразу «Any telegram message can now become RCE» и строку из 64 шестнадцатеричных символов, не раскрыв её назначение, версию клиента и механизм эксплуатации. При проверке открытых репозиториев мессенджера выяснилось, что ещё 10 ноября, за день до выхода ролика V12, команда Telegram зафиксировала в разделе невыпущенных изменений журнала widget-sandbox устранение в исходном коде похожей по заявленным последствиям ошибки движка: «Исправление безопасности QuickJS: закреплённая ревизия форка сдвигается на один коммит до ca3594d поверх движка v0.6.3. Об ошибке сообщили применительно к Telegram Android 13.2.1 как о выполнении нативного кода из скрипта виджета» — говорится в переводе записи из репозитория. 10 ноября разработчики устранили эту проблему в самом движке коммитом ca3594d и подключили обновлённую ревизию к песочнице в коммите c498cefd, закрыв сбой, при котором синтаксический анализатор допускал конструкцию «await using» в заголовке цикла внутри неасинхронных функций, а во время выполнения скрипта замыкание могло сохранить ссылку на данные в стековом кадре уже после возврата из функции (use-after-return). Параллельно разработчики мессенджера закрывали и другие дефекты движка, поэтому в свежую сборку Telegram Desktop 7.4.2 из официального чейнджлога перед самым релизом вошёл коммит ef3f6fd, подтянувший ревизию песочницы a74626d с пятью другими исправлениями QuickJS, но ещё без коммита «ca3594d». Сама архитектура widget-sandbox использует общий форк этого движка (нативно на Android, iOS, macOS и Desktop и в сборке WebAssembly для веба), но конкретные ревизии в сборках разных клиентов могут различаться, а открытых данных пока недостаточно, чтобы связать демонстрацию V12 с исправлением «ca3594d» или подтвердить обнаружение другой неизвестной уязвимости. При обычном чтении каналов, групп и личной переписки с людьми этот вектор доставки сейчас не задействован, поскольку согласно разделу доступности виджетов в рабочей среде они работают исключительно в личных чатах с ботами без пересылки, инлайн-режима и групповых чатов, а в случае реального выхода в нативный код возможные последствия определялись бы правами процесса Telegram в конкретной ОС. Поэтому практическая рекомендация сводится к тому, чтобы 😉вовремя ставить свежие обновления мессенджера на всех своих устройствах. ✋ @Russian_OSINT