Slow Fog recommande de ne pas mettre à jour la nouvelle version de Telegram en raison du manque de protection sandbox

Le fondateur de Slow Fog, Yu Xian, a déclaré sur les réseaux sociaux que la nouvelle version de Telegram permet d'intégrer des applications dans les messages, mais manque de protection sandbox, et que l'utilisation de QuickJS pourrait devenir un vecteur d'exécution de code malveillant. Il a souligné que des fonctionnalités complexes pourraient introduire des risques inutiles, et que la capacité actuelle d'exploitation des vulnérabilités liées à l'IA a considérablement augmenté, conseillant aux utilisateurs de ne pas mettre à jour Telegram pour le moment. Cette question est liée aux nouvelles fonctionnalités annoncées par le fondateur de Telegram, Pavel Durov, le 10 novembre, qui a déclaré que n'importe quel message Telegram pourrait devenir une application de moins de 4 Ko, prenant en charge le téléchargement instantané et le rendu interactif. Le chercheur en sécurité V12 a indiqué qu'un message Telegram pourrait entraîner une exécution de code à distance. Le chercheur owarida a souligné que le sandbox HTML fourni par Telegram exécute en réalité un interpréteur QuickJS sur un thread, manquant de mesures d'isolement efficaces. Une fois qu'une vulnérabilité dans QuickJS est exploitée, un attaquant peut obtenir les mêmes privilèges que le client Telegram. Ce problème provient d'une vulnérabilité de type "use-after-free" déclenchée par JavaScript standard dans l'interpréteur, et le correctif n'existe actuellement que dans la branche principale, QuickJS ayant déjà connu plusieurs vulnérabilités par le passé.