29 октября стартап NebuSec раскрыл уязвимость в Telegram для Android. Затронуты версии с 8.6.2 по 12.10.3, вышедшие с марта 2022 по сентябрь 2026 года. Telegram исправил ошибку в конце сентября в 12.10.4: ещё до того, как NebuSec отправила отчёт 26 сентября. CVE не присвоен.
Суть
Код, разбирающий сообщения MediaState во время звонка, некорректно обрабатывает отсутствующие поля. Если в сообщении есть значение поворота, клиент читает поле состояния видео, даже когда его нет, и обращается к чужой памяти.
Атакующему нужен обычный аккаунт Telegram, а жертве — ответить на звонок. Для полного захвата телефона NebuSec добавила в цепочку утечку информации и root-эксплойт Android. Проверено на ARM64-устройствах. Telegram признал отчёт, но не согласился, что ошибка ведёт к выполнению кода.
Масштаб
Атак в дикой природе NebuSec не видела. Публично есть только демо-видео, технического разбора пока нет. Общая библиотека tgcalls получила то же исправление 21 апреля. В клиент для iOS оно вошло в версии 12.7, в десктопный — в 7.0.1. Затронуты ли старые версии этих клиентов, не показано.
Что делать
- Обновить Telegram для Android до 12.10.4 или новее.
- Если обновиться нельзя, запретить входящие звонки в настройках приватности и не отвечать на неожиданные вызовы.
On 29 October startup NebuSec disclosed a flaw in Telegram for Android versions 8.6.2 through 12.10.3, released between March 2022 and September 2026. Telegram fixed it in late September in 12.10.4, before NebuSec filed its report on 26 September. No CVE has been assigned.
The bug
The code that parses in-call MediaState messages mishandles missing fields: when a rotation value is present, the client reads the video state field even if it is absent, touching memory it shouldn’t.
The attacker needs an ordinary Telegram account and the victim has to answer the call. For full device takeover NebuSec chained it with an information leak and an Android root exploit, tested on ARM64 phones. Telegram acknowledged the report but did not agree it leads to code execution.
Scope
NebuSec has seen no attacks in the wild. The only public evidence is a demo video; no technical write-up has been released yet. The shared tgcalls library got the same fix on 21 April; iOS picked it up in 12.7 and desktop in 7.0.1. Whether older iOS or desktop builds were exploitable has not been shown.
What to do
- Update Telegram for Android to 12.10.4 or later.
- If you can’t update, block incoming calls in privacy settings and decline unexpected calls.