Atualização: Falha no Telegram permite invasão remota de celulares por ligação

Uma falha de segurança descoberta na versão do Telegram para Android permite que invasores obtenham controle total de um telefone celular após a vítima atender a uma chamada de voz, segundo dados divulgados pela empresa de segurança NebuSec. A vulnerabilidade afeta versões do aplicativo lançadas entre março de 2022 e setembro deste ano.

A exploração exige que a vítima receba e atenda a ligação. “O ataque precisa que a vítima seja chamada e atenda”, afirmou Eten Zou, cofundador e presidente-executivo da NebuSec, em publicação no. A startup identificou que o problema pode ser combinado com outras duas falhas de segurança para romper as barreiras de proteção do aplicativo e alcançar o sistema operacional Android.

O contratempo reside no código responsável por processar os pacotes de dados trocados durante uma chamada telefônica. A falha original no código-fonte do Telegram pode ser verificada no GitHub oficial do projeto, em que o sistema lia campos incorretos na memória se a mensagem de rotação estivesse presente.

O Telegram lançou a versão 12.10.4 do aplicativo para corrigir o erro no sistema Android, alteração que consta no código atualizado do GitHub. O ajuste aplicado na biblioteca de chamadas do aplicativo segue o mesmo padrão adotado anteriormente nas versões para computadores e iPhone.

Para verificar a versão instalada, o usuário deve olhar o número exibido na parte inferior da página de configurações do aplicativo. Caso a versão seja anterior a 12.10.4, a recomendação dos pesquisadores da NebuSec é realizar a atualização imediata pela loja oficial. Como alternativa de proteção temporária, alterar a configuração de privacidade de chamadas do Telegram para “Ninguém” impede que o ataque seja executado.

Além desse problema, pesquisadores independentes e iniciativas de segurança acompanham outras frentes de fragilidade no aplicativo. A Zero Day Initiative publicou um alerta detalhado sobre falhas em ferramentas de exibição de figurinhas, conforme a advisory da ZDI, enquanto estudos complementares sobre os riscos do sistema foram apresentados por especialistas, detalhados no perfil de palestrantes do OffensiveCon.

A surpresa não foi apenas a existência das falhas, mas o quanto o modelo de risco do Telegram dependia de manter figurinhas maliciosas afastadas por meio de validações nos servidores

A empresa NebuSec afirmou que notificou os desenvolvedores do aplicativo assim que concluiu a análise técnica, mas a equipe do Telegram inicialmente questionou a possibilidade de transformar a falha em um mecanismo de execução remota de código. Por causa dessa divergência de entendimento, nenhum identificador CVE foi atribuído ao caso e nenhuma recompensa por bug foi paga aos pesquisadores.

“O Telegram reconheceu o aviso, mas não acreditou que a falha pudesse ser transformada em execução remota de código”, lamentou Eten Zou, ao detalhar a recusa da plataforma em classificar o problema com um identificador oficial de vulnerabilidade na época do reporte.

Até o momento da divulgação pública, os especialistas não registraram incidentes reais de exploração dessa falha em ataques contra usuários comuns. A startup utilizou ferramentas de análise automatizada baseadas em inteligência artificial (IA) para rastrear o código e identificar o ponto exato da vulnerabilidade na biblioteca de chamadas compartilhada pelo aplicativo.

Siga o TecMundo no X,, e YouTube e assine a para receber as principais notícias e análises diretamente no seu e-mail.

Reiteramos nosso compromisso em indicar apenas produtos e promoções curados e selecionados pelos nossos especialistas, sempre levando em consideração a experiência dos nossos leitores.

Sempre verifique códigos e descontos. Lojas e marcas podem alterar ou encerrar ofertas a qualquer momento.