Предназначенное для macOS приложение Telegram содержит уязвимость, через которую злоумышленник может получить доступ к веб-камере и микрофону компьютера, обнаружил инженер Google Дэн Рева (Dan Revah).

Источник изображения: Rubaitul Azad / unsplash.com

Уязвимость клиента Telegram под macOS была выявлена ещё в феврале, и тогда же администрация платформы получила о ней уведомление. Но администрация Telegram на сообщение не отреагировала, и Рева принял решение предать своё открытие широкой огласке.

Уязвимость возникла из-за возможности интеграции в Telegram сторонней динамической библиотеки (Dylib). Из-за этого приложение обходит средства защиты Hardened Runtime и Entitlements: первое предназначено для защиты от вредоносного кода и манипуляций с памятью, а второе — для контроля над доступом к микрофону, камере и другим компонентам компьютера.

В результате становится возможным внедрить на компьютер собственную динамическую библиотеку, запуск которой будет производиться от имени Telegram с его полномочиями — она позволит негласно записывать звук и видео, сохраняя записи в файле. При включении инструмента LaunchAgent такая вредоносная библиотека сможет самостоятельно запускаться после перезагрузки компьютера, а открывать мессенджер для этого уже не потребуется.

Проблема возникла из-за того, что на macOS отсутствует жёсткое требование поддержки Hardened Runtime в приложениях, тогда как на iOS оно есть.

Apple впервые выпустила обновления безопасности «Быстрые ответы на угрозы» (Rapid Security Response, RSR) с целью оперативного устранения уязвимостей в системе безопасности своих программных платформ. Компания впервые представила пакет RSR для широкой публики, а не только для бета-тестеров или разработчиков, использующих предварительные сборки iOS, iPadOS и macOS.

Источник изображения: Apple

Rapid Security Responses — это новый формат выпуска апдейтов для операционных систем и ПО Apple. Они обеспечивают важные исправления проблем безопасности между крупными релизами программного обеспечения и включают, например, доработки веб-браузера Safari, стека инфраструктуры WebKit и других компонентов.

Ранее обновления RSR были доступны только для бета-тестеров или разработчиков, но теперь Apple начала распространение RSR для всех пользователей iOS 16.4.1, iPadOS 16.4.1 и macOS 13.3.1. В дальнейшем RSR будет доступно только тем, у кого установлены самые последние версии iOS, iPadOS и macOS.

Чтобы получить обновления Rapid Security Response необходимо проверить, что следующие настройки включены:

• iPhone или iPad: выберите «Настройки → Основные → Обновление ПО → Автообновление», затем убедитесь, что пункт «Быстрый ответ на угрозы» активирован.
• Mac: перейдите в «Настройки системы», выберите «Основные» на боковой панели, затем нажмите «Обновление ПО» справа. Нажмите кнопку «Показать подробности» рядом с пунктом «Автообновление», а затем убедитесь, что параметр «Быстрый ответ на угрозы» активирован.