Falha no Telegram permite invasão de celulares por ligação de voz

Uma grave falha de segurança encontrada na versão do Telegram voltada para aparelhos Android possibilita que criminosos obtenham o domínio absoluto de um smartphone simplesmente ao fazer com que a vítima atenda a uma chamada de voz, conforme revelado por levantamentos da empresa especializada em segurança NebuSec. O problema de segurança compromete edições do mensageiro disponibilizadas ao público entre março de 2022 e setembro deste ano.

Para que a invasão seja bem-sucedida, é obrigatório que o alvo receba e atenda a chamada telefônica realizada pelos criminosos. “O ataque precisa que a vítima seja chamada e atenda”, afirmou Eten Zou, cofundador e presidente-executivo da NebuSec, em publicação no X (antigo Twitter). A startup constatou que a falha principal pode ser unida a outras duas brechas de segurança para burlar as defesas do software e atingir diretamente o sistema operacional Android.

A raiz do problema está concentrada no código encarregado de gerenciar os pacotes de dados transmitidos durante uma chamada telefônica. A imperfeição original no código-fonte do Telegram pode ser checada no repositório GitHub oficial do projeto, cenário em que o sistema realizava a leitura de campos incorretos na memória sempre que a mensagem de rotação estivesse ativada.

Correção e medidas de proteção

O Telegram disponibilizou a versão 12.10.4 do mensageiro para solucionar a falha no sistema Android, modificação que já aparece no código atualizado dentro do GitHub. A correção implementada na biblioteca de chamadas do programa obedece ao mesmo critério aplicado anteriormente nas edições voltadas para computadores e iPhone.

Para checar a versão instalada no aparelho, o dono do celular precisa conferir o número mostrado na parte inferior do painel de configurações do app. Se o software estiver em uma edição anterior à 12.10.4, o conselho dos analistas da NebuSec é efetuar a atualização imediata por meio da loja oficial de aplicativos. Como medida preventiva paliativa, modificar a preferência de privacidade de chamadas do Telegram para a opção “Ninguém” bloqueia a execução da investida.

Além desse caso, especialistas independentes e organizações de segurança monitoram outras frentes de fragilidade na plataforma. A Zero Day Initiative divulgou um aviso minucioso sobre brechas em ferramentas de exibição de figurinhas, de acordo com a advisory da ZDI, enquanto pesquisas adicionais a respeito dos perigos do ecossistema foram expostas por profissionais, detalhadas no perfil de palestrantes do OffensiveCon.

Posicionamento e resposta do Telegram

A NebuSec declarou que avisou os desenvolvedores do software logo após finalizar a auditoria técnica, contudo, a equipe do Telegram contestou inicialmente a viabilidade de transformar a brecha em um vetor de execução remota de código. Devido a essa divergência de interpretação, nenhum código CVE foi vinculado à ocorrência e nenhum prêmio por localização de bugs foi repassado aos investigadores.

“O Telegram reconheceu o aviso, mas não acreditou que a falha pudesse ser transformada em execução remota de código”, lamentou Eten Zou, ao relatar a relutância da companhia em classificar a anomalia com um identificador oficial de vulnerabilidade durante o período do reporte.

Até o instante da revelação pública, os analistas não documentaram ocorrências reais de exploração dessa brecha em ofensivas direcionadas a usuários comuns. A startup recorreu a instrumentos de verificação automatizada fundamentados em inteligência artificial (IA) para escanear o código e achar a localização exata da fragilidade dentro da biblioteca de chamadas compartilhada pelo programa.