A empresa de segurança Blockchain CertiK lançou um novo relatório mostrando que há uma nova vulnerabilidade no Telegram Messenger que está expondo os usuários a ataques maliciosos. Em sua postagem no X, a empresa de segurança mencionou a vulnerabilidade que os hackers poderiam usar para implantar um ataque de execução remota de código (RCE) por meio do processamento de mídia do Telegram.
CertiK detalha a vulnerabilidade do aplicativo de desktop do Telegram
A postagem esclareceu que os hackers poderiam tirar vantagem do processamento de mídia no aplicativo de desktop do Telegram, implantando assim o ataque RCE. CertiK observou que os usuários podem ser expostos a esses ataques maliciosos por meio de arquivos de mídia especialmente criados. “Esse problema expõe os usuários a ataques maliciosos por meio de arquivos de mídia especialmente criados, como imagens ou vídeos”, disse CertiK.
#CertiKInsight ⚠️ Vemos uma vulnerabilidade de alto risco à solta, verifique as configurações do seu telegrama para melhorar a segurança! 👇👇👇👇👇Possível RCE foi detectado no processamento de mídia do Telegram no aplicativo Telegram Desktop.
– Alerta CertiK (@CertiKAlert) 9 de abril de 2024
De acordo com um porta-voz da CertiK, a referida vulnerabilidade está limitada apenas ao aplicativo de desktop. Ele observa que o aplicativo móvel não executa programas executáveis diretamente, ao contrário do desktop que requer assinaturas. O porta-voz também observou que foi a comunidade de segurança que descobriu o problema. Para evitar a vulnerabilidade, a CertiK pediu aos usuários que desabilitassem o recurso de download automático na configuração da área de trabalho de seu aplicativo Telegram.
Os usuários podem desativar o recurso de download automático clicando em ‘Configurações’ e selecionando ‘Avançar’. Depois que a opção de download automático de mídia aparecer, eles poderão alternar o botão desativar em todos os arquivos de mídia.
Resposta e medidas para lidar com vulnerabilidades
Telegram é um aplicativo de mensagens que tem feito bastante sucesso desde o seu lançamento. O aplicativo compatível com criptografia permite aos usuários trocar mensagens, fotos, vídeos e ativos digitais como Bitcoin e Toncoin. Ele permite que os usuários realizem essas atividades relacionadas à criptografia por meio do uso de sua carteira de custódia chamada Wallet. A plataforma possui uma carteira de custódia para ajudar os novatos em criptografia que ainda são verdes quando se trata de autocustódia.
O Telegram respondeu rapidamente à atualização no X, observando que a referida vulnerabilidade é inexistente. “Não podemos confirmar se tal vulnerabilidade existe. Este vídeo provavelmente é uma farsa”, disse o aplicativo de mensagens.
Não podemos confirmar se tal vulnerabilidade existe. Este vídeo é provavelmente uma farsa. Qualquer pessoa pode relatar possíveis vulnerabilidades em nossos aplicativos e obter recompensas: https://t.co/UkzPFSVigy
– Telegram Messenger (@telegram) 9 de abril de 2024
Porém, não é a primeira vez que uma vulnerabilidade é relatada na plataforma. Em 2023, o engenheiro do Google Dan Reva descobriu um bug que poderia ajudar hackers a ativar câmeras e microfones em laptops macOS.
O Telegram também tem trabalhado incansavelmente para descobrir e solucionar vulnerabilidades em sua plataforma. O aplicativo de mensagens tem um programa de recompensas por bugs que está em execução desde 2014, oferecendo a pesquisadores e desenvolvedores oportunidades de ganhar recompensas de até US$ 100.000 pela descoberta de problemas no aplicativo. Além disso, o aplicativo incentiva qualquer pessoa que descubra problemas no aplicativo a denunciá-los. “Qualquer pessoa pode relatar possíveis vulnerabilidades em nossos aplicativos e receber uma recompensa”, disse o Telegram.