Falha no Telegram para Android permitia execução de código em chamadas

Uma falha de segurança no aplicativo Telegram para Android permitia que invasores executassem código malicioso diretamente no celular da vítima, simplesmente após esta atender uma chamada de voz. A vulnerabilidade foi descoberta pela empresa de segurança NebuSec e já foi corrigida pela plataforma na versão 12.10.4 do aplicativo.

O problema afetou as versões do aplicativo entre 8.6.2 e 12.10.3, com o período de exploração datado entre março de 2022 e setembro de 2026. Para se proteger, os usuários são orientados a verificar se estão utilizando a versão corrigida ou uma mais recente.

Como a vulnerabilidade funcionava

O erro residia no processamento de mensagens que gerenciam o estado das chamadas de voz. Quando uma dessas mensagens não continha todos os campos esperados, o código do aplicativo acessava indevidamente uma área de memória do dispositivo. Isso permitia a execução de código arbitrário.

A NebuSec divulgou um vídeo demonstrando a exploração da falha. Nele, após atender uma chamada privada em um celular com processador ARM64, o aplicativo Telegram é fechado, a tela inicial do aparelho é exibida e a mensagem “HACKED BY NEBUSEC” (“invadido pela NebuSec”) aparece.

Limitações e alcance da falha

A empresa de segurança detalhou algumas características e limitações da vulnerabilidade. O ataque exigia apenas uma conta comum no Telegram, sem necessidade de privilégios adicionais.

A falha foi confirmada em chamadas privadas em aparelhos com processadores ARM64. Não foram encontradas evidências de que a vulnerabilidade afetasse diretamente os aplicativos para iOS, para computador, ou as chamadas em grupo.

Como verificar a atualização

Para conferir a versão instalada do Telegram, o usuário deve acessar as configurações do aplicativo e verificar o número exibido na parte inferior da página. A versão 12.10.4 é a que corrige a falha de segurança.

Apesar de os aplicativos compartilharem uma biblioteca comum para chamadas de voz e vídeo, a correção para essa vulnerabilidade específica já havia sido implementada nos códigos das versões para iPhone e computador antes de ser disponibilizada para o Android.

Em 29 de outubro, a vulnerabilidade ainda não possuía um identificador CVE (Common Vulnerabilities and Exposures), padrão utilizado internacionalmente para catalogar falhas de segurança. O portal The Hacker News informou que entrou em contato com o Telegram e a NebuSec para obter mais detalhes sobre o uso da vulnerabilidade em ataques reais e o alcance exato do código executado no aparelho.