Falha no Telegram para Android permitia invasão ao atender chamada

Uma falha no Telegram para Android permitia que invasores executassem código no celular da vítima após ela atender uma chamada de voz.

Descoberta pela empresa de segurança NebuSec, a vulnerabilidade foi corrigida na versão 12.10.4 do aplicativo.

O problema afetava versões entre 8.6.2 e 12.10.3, dentro do período de março de 2022 a setembro de 2026.

Para se proteger, os usuários devem verificar se estão com a versão corrigida ou uma mais recente.

Falha fazia o código do Telegram acessar indevidamente uma área de memória do dispositivo durante a ligação.

Imagem: Christian Wiediger/Unsplash Como funcionava a vulnerabilidade O erro estava no processamento de mensagens usadas para configurar e informar o estado das chamadas.

Quando uma delas não continha todos os campos esperados, o código acessava indevidamente uma área da memória do aparelho.

A NebuSec demonstrou a execução de código em uma chamada privada atendida em um celular com processador ARM64.

No vídeo divulgado pela empresa, o Telegram fecha, a tela inicial do aparelho aparece e exibe a mensagem “HACKED BY NEBUSEC” (“invadido pela NebuSec”, em tradução livre).

Entre as características e limitações identificadas pela empresa estão: O ataque exigia apenas uma conta comum no Telegram.

A falha foi confirmada em chamadas privadas em aparelhos com processadores ARM64.

Não havia evidências de impacto direto nos aplicativos para iOS , computador ou nas chamadas em grupo.

Remember when scam callers only ask for your password? Good times.

Now picking up a wrong call can get you hacked.