Une faille dans Telegram pour Android permettait d’exécuter du code sur le téléphone d’une victime dès qu’elle décrochait un appel vocal. NebuSec, qui l’a trouvée, l'a rendue publique il y a quelques heures, après le correctif publié par Telegram fin septembre.
L’attaquant n’avait besoin que d’un compte Telegram ordinaire. Pour s’en protéger, il vaut mieux s’assurer d’être bien passé sur la version 12.10.4 ou plus récente.
Tout part d’un message d’appel mal lu
Pendant un appel, les deux applications s’envoient de petits messages pour lancer la communication et en suivre l’état. L’un d’eux, MediaState, indique si le micro est coupé, si la caméra est allumée et comment la vidéo est orientée. D’après NebuSec, le code chargé de lire ce message gérait mal les champs manquants et allait chercher des données dans une zone de mémoire qui ne lui était pas destinée. Ce problème a notamment été observé dans le code publié de la version 12.10.3. Quand le message contient une valeur de rotation, le code la contrôle, puis lit un autre champ, l’état de la vidéo, même s’il n’existe pas. La mouture suivante, 12.10.4, corrige cette lecture.
Toutes les versions de la 8.6.2 à la 12.10.3, sorties entre mars 2022 et septembre 2026, sont concernées. NebuSec, start-up soutenue par Y Combinator, affirme avoir trouvé la faille avec son outil Code Security, qui repose sur GPT-5.4 d’OpenAI. Elle l’a confirmée lors d’appels individuels sur des téléphones à processeur ARM64, sans toutefois confirmer une vulnérabilité similaire sur iOS, sur ordinateur ou lors d'appels de groupe. La faille n’avait pas de numéro CVE (l’identifiant public des failles connues) au 29 octobre, et on ignore si elle a servi dans de vraies attaques.
- Fonctions sociales
- Nombreuses options de personnalisation
- Les appels vidéo à 30 intervenants
Les appels de Telegram reposent sur une même bibliothèque de code pour Android, iOS et ordinateur, appelée tgcalls. Le 21 avril 2026, une modification intitulée « Fix camera rotation » y a apporté la même correction. Les iPhone ont reçu le correctif avec la version 12.7 en mai, l’application de bureau avec la 7.0.1 en juillet, et Android seulement avec la 12.10.4. Rien ne montre que l’ancien code était exploitable sur ces plateformes. Les appels de Telegram avaient déjà fait parler d'eux. En octobre 2018 l'application de bureau exposait les adresses IP des participants à un appel vocal en pair-à-pair, avant l’ajout d’une option pour désactiver ce mode.
Source : The Hacker News
