Утечка безопасности в мессенджере Telegram exposes камеры пользователей Mac

Мессенджер Telegram преуменьшил серьезность уязвимости, которая позволяла исследователям получать доступ к системам камер устройств на базе macOS от Apple. Об уязвимости сообщил программный инженер Дэн Ревах, подробно описавший метод в своем блоге. Внедряя динамическую библиотеку в систему пользователя, эксплойт мог предоставить доступ к камере устройства и позволить записывать и сохранять файлы. Ревах также утверждал, что эксплойт может обойти песочницу терминала с помощью агента запуска и получить дополнительные системные привилегии. 

Однако представитель Реми Вонн заявил, что пользователи Telegram не находятся в опасности по умолчанию, так как для эксплуатации требуется установка вредоносного программного обеспечения на их системы. Вонн объяснил проблему безопасностью разрешений Apple и возможностью обхода ограничений песочницы, предназначенных для предотвращения злоупотреблений сторонними приложениями. Приложение внесло изменения для устранения уязвимости, и обновленная версия получила одобрение Apple App Store. Пользователи, загрузившие Telegram напрямую с веб-сайта приложения, не пострадали.

Telegram реагирует на уязвимость

В отдельном обновлении, выпущенном в декабре 2022 года, Telegram представил функцию, позволяющую пользователям создавать аккаунты с использованием анонимных номеров на базе блокчейна для повышения конфиденциальности и безопасности. Для использования этой функции пользователям необходимо приобрести анонимные номера на базе блокчейна на децентрализованной аукционной платформе Fragment. Имена пользователей и анонимные номера, полученные с платформы, совместимы только с Telegram. Основатель Telegram Павел Дуров также заявил в ноябре 2022 года, что платформа будет разрабатывать децентрализованные инструменты и услуги после краха криптовалютной биржи FTX, принадлежащей Сэму Бэнкман-Фриду.

Кроме того, обнаружение уязвимости в Telegram подчеркивает постоянную проблему баланса между конфиденциальностью и безопасностью пользователей и потенциальными рисками, создаваемыми уязвимостями в программных системах. Хотя Telegram подчеркнул, что его пользователи не находятся в опасности по умолчанию, инцидент вызывает опасения по поводу общей безопасности мессенджеров и способности злоумышленников эксплуатировать слабости в базовых операционных системах.

Реакция Telegram на уязвимость и работа над необходимыми изменениями отражают приверженность компании защите конфиденциальности и безопасности своих пользователей. Оперативно внедряя обновления и получая одобрение от Apple App Store, Telegram продемонстрировал свою преданность делу устранения потенциальных уязвимостей и защиты своей пользовательской базы.

Внедрение анонимных номеров на базе блокчейна в качестве функции в Telegram дополнительно демонстрирует усилия платформы по повышению конфиденциальности пользователей. Используя децентрализованные технологии, Telegram стремится предоставить пользователям больший контроль над своей личной информацией и коммуникациями. Это соответствует растущему тренду на интеграцию блокчейна и децентрализованных решений для решения проблем, связанных с конфиденциальностью и безопасностью данных.

Что касается Apple, ответ компании на вопрос об уязвимости пока не получен. Учитывая серьезность проблемы, вероятно, что Apple проведет расследование и примет соответствующие меры для устранения уязвимостей в своей операционной системе macOS, которые могли быть использованы для эксплуатации.

В целом, этот инцидент служит напоминанием о важности регулярного обновления программного обеспечения, поддержания строгих мер безопасности и бдительности в отношении потенциальных уязвимостей, которыми могут воспользоваться злоумышленники. Он подчеркивает постоянную игру в «кошки-мышки» между исследователями в области кибербезопасности и хакерами, при которой такие компании, как Telegram, стремятся оставаться на шаг впереди, чтобы защитить конфиденциальность и безопасность своих пользователей.