Telegram heeft een ernstig beveiligingslek gedicht in widgets voor Android. Onderzoekers lieten zien dat een botbericht de rekenmachine op een telefoon kon openen. Voor cryptogebruikers is dat extra relevant, omdat Telegram veel wordt gebruikt voor handelsgroepen, bots en contact met cryptoprojecten.
Botbericht breekt uit beschermde omgeving
Telegram introduceerde op 9 november zogenoemde widgets. Bots kunnen daarmee kleine interactieve blokken rechtstreeks in een bericht plaatsen, bijvoorbeeld een peiling, spel of prijsweergave. Volgens de officiële documentatie draait de bijbehorende code in een afgeschermde omgeving zonder toegang tot het internet.
Beveiligingsbedrijf V12 liet twee dagen later zien dat die bescherming kon worden omzeild. In een demonstratie op X startte een bot een widget, waarna vanzelf de rekenmachine van Android opende. Zo’n rekenmachine is een gebruikelijke test: hij bewijst dat code buiten de bedoelde omgeving kan draaien, zonder direct schade aan te richten.
V12 maakte de technische details en aanvalscode niet openbaar. Er zijn ook geen bevestigde gevallen bekend waarin het lek daadwerkelijk is misbruikt om cryptomunten of gegevens te stelen.
Nieuwe versie zet widgets apart
De kwetsbaarheid is verholpen in Telegram voor Android 13.2.2. Volgens een technische reconstructie van de reparatie draait widgetcode voortaan in een apart proces zonder toegang tot Telegram-berichten, accounts of bestanden. Invoer vanuit dat proces wordt bovendien opnieuw gecontroleerd voordat Telegram een actie uitvoert.
Gebruikers kunnen in de instellingen onderaan controleren welke Telegram-versie op hun telefoon staat. Wie een oudere Android-versie van de app gebruikt, doet er verstandig aan Telegram via de officiële appwinkel bij te werken.
Het incident laat zien hoe snel een nieuwe functie een aanvalskanaal kan worden. Telegrams Bot API 10.4 maakte widgets pas maandag beschikbaar. Voor cryptogebruikers weegt dat zwaar, omdat Telegram vaak op hetzelfde toestel staat als beursapps, walletapps en andere financiële gegevens.