Дуров предложил взломать его аккаунт в Telegram после сообщений об уязвимости

Основатель Telegram Павел Дуров отреагировал на публикации о новой уязвимости в мессенджере, предложив желающим проверить его личный профиль на прочность. Об этом он сообщил в личном блоге.

Что заявил Дуров

По его утверждению, получить доступ к чужому аккаунту путём простого получения сообщения, о чём сообщали отдельные СМИ, технически невозможно. Для реализации подобного сценария требовалось предварительно активировать сторонний сервис, однако и эта лазейка уже закрыта на серверной стороне.

В подтверждение своей позиции предприниматель прикрепил ссылку на собственный профиль и призвал сомневающихся испытать его защиту на практике.

«Если вы думаете иначе, попробуйте взломать мой аккаунт», — предложил он.

Что показали исследователи

Информационным поводом для демарша Дурова стала серия материалов об уязвимостях в интерактивных виджетах. 11 ноября специалисты проекта V12, позиционирующие себя как этичные хакеры, продемонстрировали на платформе Android механизм запуска постороннего кода через виджет.

В опубликованном ролике пользователь открывал диалог с ботом и нажимал кнопку запуска, в результате чего виджет инициировал работу калькулятора. Этот эксперимент подтверждает возможность выполнения команд за пределами штатных ограничений, но не свидетельствует о захвате аккаунта без участия самого владельца. Именно на этом обстоятельстве настаивает основатель Telegram.

Справка

Проблема связана с технологией QuickJS, которую Telegram использует для обработки интерактивных сообщений. Разработчики уже выпустили обновления: в Android обработку виджетов перенесли в изолированный процесс, а для настольного клиента вышла исправленная версия. Дуров дополнительно утверждает, что потенциально опасный сценарий устранён на серверной стороне, поэтому распространение исправления не зависит исключительно от установки новых версий приложения. Независимого подтверждения того, что опубликованные способы атаки продолжают работать после серверных исправлений, пока нет.

До этого стало известно, что Дуров посетил Хэллоуин-вечеринку в Дубае в костюме гладиатора с новой пассией.