Cảnh báo: Lỗ hổng trên Telegram cho Android cho phép kẻ tấn công thực thi mã độc qua cuộc gọi thoại

Các chuyên gia bảo mật từ startup NebuSec vừa công bố thông tin về một lỗ hổng bảo mật nghiêm trọng trên ứng dụng Telegram dành cho Android. Lỗ hổng này cho phép kẻ tấn công thực thi mã độc từ xa trên điện thoại của nạn nhân chỉ bằng cách thực hiện một cuộc gọi thoại thông thường.

Chi tiết về lỗ hổng

Theo báo cáo, lỗ hổng nằm trong cách ứng dụng xử lý các thông điệp MediaState – loại dữ liệu được dùng để trao đổi trạng thái cuộc gọi như trạng thái micro, camera hoặc xoay video. Kẻ tấn công có thể khai thác lỗi này do ứng dụng không kiểm soát đúng các trường dữ liệu bị thiếu, dẫn đến việc truy cập vào vùng nhớ không hợp lệ.

NebuSec đã xác nhận lỗ hổng này ảnh hưởng đến tất cả các phiên bản Telegram cho Android từ 8.6.2 đến 12.10.3 (phát hành trong khoảng thời gian từ tháng 3/2022 đến tháng 9/2026). Hiện tại, chưa có bằng chứng cho thấy lỗ hổng này tác động trực tiếp đến phiên bản iOS hoặc ứng dụng trên máy tính.

Khuyến nghị bảo mật

Telegram đã phát hành bản vá cho lỗ hổng này trong phiên bản 12.10.4 vào cuối tháng 9 vừa qua. Người dùng Android được khuyến cáo:

• Kiểm tra phiên bản ứng dụng hiện tại trong mục Cài đặt (Settings).
• Cập nhật ứng dụng lên phiên bản 12.10.4 hoặc mới hơn ngay lập tức thông qua Google Play Store.

Ngoài ra, các nhà nghiên cứu cũng lưu ý về một lỗ hổng khác liên quan đến thư viện rlottie (dùng để hiển thị sticker động) được định danh là CVE-2026-111105. Dù Telegram đã có các biện pháp kiểm soát phía server, nhưng các chuyên gia cảnh báo rằng những biện pháp này vẫn có thể bị bypass thông qua các kỹ thuật fuzzing nâng cao. Telegram hiện đã chuyển sang sử dụng thư viện tlottie viết bằng ngôn ngữ Rust trên các phiên bản mới để tăng cường tính an toàn cho bộ nhớ.

Nguồn tham khảo: The Hacker News