La nueva función de chat de Telegram podría abrir otra puerta al malware. Ten cuidado antes de actualizar.
Yu Xian, fundador de SlowMist, ha advertido sobre la nueva función de Telegram que permite incrustar aplicaciones interactivas directamente en los mensajes del chat.
La función, presentada en Bot API 10.4 el 9 de noviembre, utiliza QuickJS para ejecutar código JavaScript.
Por qué preocupa a los investigadores de seguridad:
- QuickJS se ejecuta dentro de un entorno aislado diseñado para aislar la ejecución del código.
- Telegram restringe el acceso a la red.
- Sin embargo, los investigadores ya han identificado vulnerabilidades de ejecución remota de código en el motor relacionado, que podrían eludir el aislamiento del entorno.
El aislamiento y las restricciones de red reducen el riesgo, pero no garantizan una protección completa frente a las vulnerabilidades del motor JavaScript subyacente.
Los chats de Telegram son cada vez más interactivos. Solo asegúrate de no interactuar con malware disfrazado de miniaplicación útil.
¿Confiarías en todas las aplicaciones interactivas incrustadas en un mensaje de Telegram?
Yu Xian, fundador de SlowMist, ha advertido sobre la nueva función de Telegram que permite incrustar aplicaciones interactivas directamente en los mensajes del chat.
La función, presentada en Bot API 10.4 el 9 de noviembre, utiliza QuickJS para ejecutar código JavaScript.
Por qué preocupa a los investigadores de seguridad:
- QuickJS se ejecuta dentro de un entorno aislado diseñado para aislar la ejecución del código.
- Telegram restringe el acceso a la red.
- Sin embargo, los investigadores ya han identificado vulnerabilidades de ejecución remota de código en el motor relacionado, que podrían eludir el aislamiento del entorno.
El aislamiento y las restricciones de red reducen el riesgo, pero no garantizan una protección completa frente a las vulnerabilidades del motor JavaScript subyacente.
Los chats de Telegram son cada vez más interactivos. Solo asegúrate de no interactuar con malware disfrazado de miniaplicación útil.
¿Confiarías en todas las aplicaciones interactivas incrustadas en un mensaje de Telegram?
