La brèche de sécurité du géant de la messagerie Telegram expose les caméras des utilisateurs Mac

L'application de messagerie Telegram a minimisé la gravité d'une exploitation qui a permis aux chercheurs d'accéder aux systèmes de caméra des appareils Apple macOS. L'exploitation a été signalée par l'ingénieur logiciel Dan Revah, qui a détaillé la méthode dans un article de blog. En injectant une bibliothèque dynamique dans le système d'un utilisateur, l'exploitation pouvait accorder l'accès à la caméra de l'appareil et permettre l'enregistrement et la sauvegarde des fichiers. Revah a également affirmé que l'exploitation pouvait contourner le bac à sable du terminal à l'aide d'un agent de lancement et obtenir des privilèges système supplémentaires. 

Cependant, le porte-parole Remi Vaughn a déclaré que les utilisateurs de Telegram n'étaient pas par défaut à risque, car l'exploitation nécessite l'installation de logiciels malveillants sur leurs systèmes. Vaughn a attribué le problème à la sécurité des permissions d'Apple et à la possibilité de contourner les restrictions du bac à sable destinées à empêcher l'abus d'applications tierces. L'application a apporté des modifications pour résoudre l'exploitation, et la version mise à jour a reçu l'approvisionnement de l'Apple App Store. Les utilisateurs qui ont téléchargé Telegram directement à partir du site web de l'application n'étaient pas affectés.

Telegram répond à l'exploitation

Dans une mise à jour séparée, Telegram a introduit une fonctionnalité en décembre 2022 qui permet aux utilisateurs de créer des comptes en utilisant des numéros anonymes basés sur la blockchain pour améliorer la confidentialité et la sécurité. Cette fonctionnalité nécessite que les utilisateurs achètent des numéros anonymes alimentés par la blockchain auprès de la plateforme d'enchères décentralisée Fragment. Les noms d'utilisateur et les numéros anonymes obtenus auprès de la plateforme ne sont compatibles qu'avec Telegram. Le fondateur de Telegram, Pavel Durov, a également indiqué en novembre 2022 que la plateforme développerait des outils et des services décentralisés suite à l'effondrement de l'échange de cryptomonnaies FTX appartenant à Sam Bankman-Fried.

De plus, la découverte de l'exploitation dans Telegram met en lumière le défi constant d'équilibrer la confidentialité et la sécurité des utilisateurs avec les risques potentiels posés par les vulnérabilités des systèmes logiciels. Bien que Telegram ait souligné que ses utilisateurs n'étaient pas par défaut à risque, l'incident soulève des préoccupations concernant la sécurité globale des applications de messagerie et la capacité des attaquants à exploiter les faiblesses des systèmes d'exploitation sous-jacents.

La réponse de Telegram, en abordant l'exploitation et en travaillant à apporter les changements nécessaires, reflète l'engagement de l'entreprise à maintenir la confidentialité et la sécurité de ses utilisateurs. En mettant rapidement en œuvre des mises à jour et en obtenant l'approbation de l'Apple App Store, Telegram a démontré son dévouement à remédier aux vulnérabilités potentielles et à protéger sa base d'utilisateurs.

L'introduction de numéros anonymes basés sur la blockchain en tant que fonctionnalité dans Telegram montre davantage les efforts de la plateforme pour améliorer la confidentialité des utilisateurs. En tirant parti de la technologie décentralisée, Telegram vise à fournir aux utilisateurs plus de contrôle sur leurs informations personnelles et leurs communications. Cela s'aligne sur la tendance croissante d'intégrer la blockchain et les solutions décentralisées pour répondre aux préoccupations concernant la confidentialité et la sécurité des données.

En ce qui concerne Apple, la réponse de l'entreprise concernant l'exploitation est attendue. Compte tenu de la gravité de la question, il est probable qu'Apple enquêtera sur l'affaire et prendra les mesures appropriées pour remédier à toute vulnérabilité de son système d'exploitation macOS qui aurait permis l'exploitation.

Dans l'ensemble, l'incident sert de rappel de l'importance de mettre régulièrement à jour les logiciels, de maintenir de solides mesures de sécurité et de rester vigilant face aux vulnérabilités potentielles qui pourraient être exploitées par des acteurs malveillants. Il met en lumière le jeu du chat et de la souris continu entre les chercheurs en cybersécurité et les attaquants, des entreprises comme Telegram travaillant à rester une longueur d'avance pour protéger la confidentialité et la sécurité de leurs utilisateurs.