В клиенте Telegram для Mac нашли уязвимость, которая позволяет злоумышленникам записывать звук с микрофона устройства, а также активировать встроенную веб-камеру. Ошибка была обнаружена еще в феврале этого года. Однако разработчики Telegram пока так ее и не исправили.
Одним из первых уязвимость обнаружил специалист по информационной безопасности Дэн Рева. Он долгое время пытался связаться с разработчиками мессенджера. Но никакой обратной связи не получил. В итоге исследователь решил опубликовать информацию в своем блоге.
Суть уязвимости заключается в интеграции в клиент Telegram сторонней динамической библиотеки (Dylib). После этого злоумышленники могут от имени мессенджера запускать запись видео с камеры и микрофона устройства, сохраняя файлы в скрытой папке. Также уязвимость позволяет получить доступ к службе LaunchAgent и автоматически запускать вредоносный код.
Рева отмечает, что брешь в системе защиты мессенджера появилась из-за того, что команда разработчиков Telegram не использует встроенные в macOS системы безопасности. Речь идет о механизмах Hardened Runtime и Entitlements. Первый обеспечивает защиту от вмешательства в работу с памятью, а второй контролирует права приложений на доступ к камере, микрофону и другим системам устройства.
Загрузка...
