Telegram'ın Android uygulamasındaki açık, sesli arama açıldığında telefonda kod çalıştırılmasına izin veriyordu, düzeltme 12.10.4 sürümünde

The Hacker News’in aktardığına göre güvenlik girişimi NebuSec, 29 Ekim’de Telegram’ın Android uygulamasında bir açık açıkladı. NebuSec’e göre açık, saldırganın yaptığı sesli arama kurban tarafından açıldığında kurbanın telefonunda kod çalıştırılmasına izin veriyordu. Saldırganın yalnızca sıradan bir Telegram hesabına ihtiyacı vardı. Telegram açığı Eylül sonunda yayımlanan 12.10.4 sürümüyle kapattı.

NebuSec’in kurucu ortağı ve CEO’sunun The Hacker News’e e-postayla yaptığı açıklamaya göre açık, 8.6.2 ile 12.10.3 arasındaki bütün sürümlerde tetiklenebiliyor. The Hacker News’e göre bu sürümler Mart 2022 ile Eylül 2026 arasında yayımlandı. Şirket açığı ARM64 işlemcili telefonlarda, iki kişi arasındaki aramalarda doğruladı. Açığın Telegram’ın iOS ve masaüstü uygulamalarını ya da grup aramalarını doğrudan etkilediğine dair şimdilik bir kanıtı yok. The Hacker News’e göre 29 Ekim itibarıyla açığın bir CVE numarası yok. The Hacker News, NebuSec’e ve Telegram’a açığın saldırılarda kullanılıp kullanılmadığını sordu.

Açığın kaynağı

The Hacker News’in anlatımına göre Telegram aramalarında iki uygulama, aramayı kurmak ve durumunu bildirmek için birbirine kısa mesajlar gönderiyor. MediaState adlı mesaj türü mikrofonun kapalı olup olmadığını, kameranın açık olup olmadığını ve görüntünün nasıl döndürüldüğünü bildiriyor. NebuSec’e göre açık, bu mesajları okuyan koddaydı. Kod eksik alanları doğru işlemiyor ve erişmemesi gereken belleğe erişiyordu.

The Hacker News, Telegram’ın 12.10.3 sürümünün yayımlanmış kaynak kodunda bu tanıma uyan bir hata buldu. Kod, mesajda bir döndürme değeri varsa bu değeri kontrol ediyor, ardından mesajda bulunmasa bile görüntü durumunu gösteren başka bir alanı okuyordu. 12.10.4 sürümü döndürme değerini doğru alandan okuyor.

Telegram’ın Android, iOS ve masaüstü uygulamaları aramalar için tgcalls adlı ortak bir kütüphane kullanıyor. The Hacker News’e göre aynı düzeltme bu kütüphanede 21 Nisan’da yapıldı. iOS uygulamasının kaynak kodunda Mayıs’ta yayımlanan 12.7, masaüstü uygulamasında ise Temmuz’da yayımlanan 7.0.1 sürümünden itibaren yer aldı. Android uygulamasına ise Eylül’deki 12.10.4 ile geldi. Eski kodun bu uygulamalarda istismar edilip edilemeyeceği gösterilmiş değil.

NebuSec’in yayımladığı videoda kurban aramayı kabul ettikten yaklaşık yarım dakika sonra telefon ana ekrana dönüyor ve ekranda “HACKED BY NEBUSEC” logosu beliriyor. The Hacker News’e göre video, kurbanın telefonundaki Telegram ve Android sürümünü göstermiyor ve NebuSec’in sitesinde 29 Ekim itibarıyla açığa dair teknik bir açıklama yok. Bu yüzden açıktan kod çalıştırmaya giden adım, videoya ve şirketin açıklamalarına dayanıyor. NebuSec, açığı OpenAI’ın GPT-5.4 modeliyle çalışan kendi kod güvenliği ürününün bulduğunu söylüyor.

Çıkartma kütüphanesindeki ayrı açık

The Hacker News’e göre Zero Day Initiative (ZDI), 15 Ekim’de Telegram uygulamalarının animasyonlu çıkartmaları çizmek için kullandığı rlottie kütüphanesindeki yaması olmayan bir açık için bildiri yayımladı. ZDI’ye göre CVE-2026-111105 numaralı açık (CVSS 7.0), kullanıcı kötü amaçlı bir dosyayı ya da sayfayı açtığında kod çalıştırılmasına izin verebiliyor. Telegram Mart’ta ZDI’ye sunucularındaki kontrollerin açığın etkisini azalttığını bildirmişti. Araştırmacı Saifeldeen Aziz ise OffensiveCon konuşmasının özetinde bu kontrollerin atlatılabildiğini söylüyor.

The Hacker News’in Telegram’ın yayımlanmış kaynak koduna dayanarak aktardığına göre Android uygulaması, Haziran’daki 12.8.1 ile Ağustos’taki 12.10.0 sürümleri arasında rlottie’nin yerine Rust ile yazılmış tlottie kütüphanesine geçti. Masaüstü uygulamasının kodu aynı geçişi Eylül’de yaptı. iOS uygulaması ise Ekim’deki 13.0 sürümünde tlottie’yi ekledi ama rlottie’yi de hâlâ içeriyor.

Önerilen önlemler

The Hacker News’e göre Telegram’ı Android’de kullananlar, uygulamanın 12.10.4 ya da daha yeni bir sürümde olduğundan emin olmalı. Sürüm numarası, uygulamanın Ayarlar sayfasının en altında görünüyor.