Telegram Android Flaw Lets Attackers Run Code When Users Answer Voice Calls

Una vul­ne­ra­bi­li­dad pre­sen­te en la apli­ca­ción de Te­le­gram para An­dro­id per­mi­tía a un agre­sor eje­cu­tar có­di­go en el dis­po­si­ti­vo de la víc­ti­ma al con­tes­tar una lla­ma­da de voz. Para lle­var a cabo esta ac­ción, el ata­can­te úni­ca­men­te re­que­ría con­tar con una cuen­ta común en la pla­ta­for­ma. Este fallo afec­ta­ba a las ver­sio­nes com­pren­di­das entre la 8.6.2 y la 12.10.3, las cua­les sa­lie­ron al mer­ca­do en un pe­rio­do que abar­ca desde marzo de 2022 hasta sep­tiem­bre de 2026.

El pro­ble­ma ra­di­ca­ba en la sec­ción de có­di­go en­car­ga­da de pro­ce­sar los men­sa­jes lla­ma­dos Me­diaS­ta­te, uti­li­za­dos para re­por­tar el es­ta­do de la lla­ma­da. Dicho seg­men­to no ges­tio­na­ba de ma­ne­ra ade­cua­da los cam­pos fal­tan­tes y ac­ce­día a zonas de me­mo­ria in­de­bi­das al leer el valor de ro­ta­ción de video. La com­pa­ñía so­lu­cio­nó este in­con­ve­nien­te en la ver­sión 12.10.4, li­be­ra­da a fi­na­les de sep­tiem­bre, mien­tras que los des­cu­bri­do­res del fallo hi­cie­ron la di­vul­ga­ción pú­bli­ca a fi­na­les de oc­tu­bre.

Una em­pre­sa emer­gen­te es­pe­cia­li­za­da en se­gu­ri­dad fue la en­car­ga­da de ha­llar la vul­ne­ra­bi­li­dad uti­li­zan­do su pro­pio pro­duc­to de se­gu­ri­dad de có­di­go. En una de­mos­tra­ción en video, se evi­den­ció cómo tras acep­tar una lla­ma­da de voz en un te­lé­fono con Te­le­gram para An­dro­id, el dis­po­si­ti­vo mos­tra­ba al­te­ra­cio­nes en su pan­ta­lla prin­ci­pal junto con un lo­go­ti­po alu­si­vo a los ata­can­tes. Por otro lado, tam­bién se in­for­mó sobre otra vul­ne­ra­bi­li­dad di­fe­ren­te en la bi­blio­te­ca rlot­tie vin­cu­la­da a las pe­ga­ti­nas ani­ma­das de Te­le­gram, la cual per­mi­tía la eje­cu­ción de có­di­go si el usua­rio abría ar­chi­vos ma­li­cio­sos.