CryptoSlate
Telegram, araştırmacılar bazı eski istemcilerde widget kodunun dokunma olmadan çalıştırılabileceği yönünde endişelerini dile getirdikten sonra sıradan botların özel sohbetler dâhil etkileşimli HTML widget'ları göndermesini engelledi. Bot API katkıcısı levlam kısıtlamayı 13 Kasım'da doğruladı. Bu tarih, Telegram'ın güvenlik düzeltmesinin ilgili saldırı yolunu engellediğini açıklamasının iki gün öncesine denk geliyordu.
Araştırmacıların arşivi, yayımlanan güvenlik açıklarının Android, iOS 13.2, Desktop 7.4.0 ve macOS 13.1 dâhil listelenen eski sürümleri etkilediğini ve güncel Telegram sürümlerinde düzeltmeler bulunduğunu belirtiyor. Etkilenen alan istemciye göre değişiyor. Bazı bulgular uygulama düzeyinde kod çalıştırmayı içerirken diğerleri ayrı widget sürecinde sınırlı kalmıştı. Telegram kurucusu Pavel Durov, kullanıcı önce üçüncü taraf bir hizmet başlatmadı ve gönderilen widget ile etkileşime girmediği sürece bir mesajın cihazı ele geçiremeyeceğini söyledi.
Neden önemli
HTML widget'ları Telegram Mini Apps'ten farklıdır, çünkü mesajın kendisi içinde çalışırlar. Telegram, widget ortamını yalıtılmış olarak tanımlıyor. Buna göre kod, doğrudan internet erişimi olmadan kullanıcının cihazında çalışır ve bot istekleri Telegram üzerinden yönlendirilir. Kısıtlama genel botları etkiliyor, ancak sıradan bot mesajlarını veya tüm bot hizmetlerini kapsamıyor. Telegram, daha önce gönderilmiş widget'ların ne zaman görüntülenmeyi bırakacağını ya da daha geniş erişimin ne zaman geri dönebileceğini açıklamadı.
Tasarım doğrudan cüzdan bağlantılarını içeriyor. Telegram'ın belgeleri, kullanıcının TON cüzdan kartıyla ilgili widget sorgularını, cüzdan tarafından imzalanan verileri ve cüzdan işlemlerine yönelik bildirimleri ele alıyor. Bu özellikler kripto kullanıcıları açısından önemli olsa da bildirilen güvenlik açıkları yetkisiz imzalama, varlık çalma veya yaygın kötüye kullanımı ortaya koymuyor.
Piyasa etkisi
Kripto kullanıcıları açısından acil risk, daha eski veya güvenlik açığı bulunan istemci sürümlerinde ve widget'ların botlar aracılığıyla gönderilmesinde yoğunlaşıyor. Güncel sürümlerin düzeltmeler içerdiği bildiriliyor, ancak araştırma arşivi her platform için tek ve kesin bir güvenli sürüm belirtmiyor.
Sıkça sorulan sorular
-
Hangi Telegram özelliği kısıtlandı?
Telegram, sıradan botların özel sohbetler dâhil HTML widget'ları göndermesini engelledi. Sıradan bot mesajlarının veya tüm bot hizmetlerinin kapatılacağını açıklamadı.
-
Bir Telegram widget'ı dokunma olmadan çalışabilir mi?
Araştırmacılar, etkilenen bazı eski istemcilerde widget kodunun dokunma olmadan sohbet düzeni sırasında çalışabileceğini söyledi. Ayrıca gönderimin widget göndermesine izin verilen bir bot gerektirdiğini ve bulgunun istemci sürümüne bağlı olduğunu belirttiler.
-
Güncel Telegram sürümleri yayımlanan güvenlik açıklarından etkileniyor mu?
Araştırmacılar, yayımlanan güvenlik açıklarının güncel Telegram sürümlerinde düzeltildiğini söyledi. Arşivleri, tüm istemciler için tek ve kesin bir minimum güvenli sürüm ortaya koymuyor.
-
Yetkisiz kripto imzalama veya hırsızlık gösterildi mi?
Hayır. Widget tasarımı TON cüzdan sorgularını ve cüzdan tarafından imzalanan verileri içeriyor, ancak bildirilen bulgular yetkisiz imzalama, varlık çalma veya yaygın kötüye kullanımı ortaya koymuyor.
-
Telegram genel widget erişimini ne zaman geri açacak?
Geri açma takvimi açıklanmadı. Doğrulama, daha önce gönderilmiş widget'ların istemciler arasında nasıl görüntüleneceğinin hâlâ netleşmediğini de ortaya koyuyor.
WuBlockchain
CoinDesk
TheBlock