В клиенте Telegram для macOS обнаружили уязвимость, которая позволяет получить доступ к камере и микрофону. Ошибку нашли ещё в феврале этого года, но опубликовали информацию о ней только сейчас.
Исследователь безопасности Дэн Рева (Dan Revah) опубликовал в своём блоге подробное описание уязвимости клиента Telegram, позволяющей получать доступ к микрофону и камере. На публикацию обратил внимание инженер Мэтт Йохансен (Matt Johansen) и привлёк к ней внимание пользователей. Сообщается, что об ошибке стало известно ещё в феврале этого года. Всё это время исследователь пытался связаться с разработчиками мессенджера и опубликовал детальные подробности только после того, как не получил обратную связь.
Суть уязвимости заключается в интеграции в клиент Telegram сторонней динамической библиотеки (Dylib). С её помощью можно от имени мессенджера вести запись видео с камеры и микрофона устройства, сохраняя файлы в память. Уязвимость появилась из-за того, что команда разработчиков Telegram не использует должным образом встроенные в macOS системы безопасности: Hardened Runtime и Entitlements.
Hardened Runtime позволяет разработчикам защитить своё приложение от вмешательства в работу с памятью и внедрения вредоносного кода, а Entitlements контролирует права приложений на доступ к камере, микрофону и другим системам устройства. Также уязвимость позволяет получить доступ к службе LaunchAgent и автоматизировать запуск вредоносного кода. Таким образом можно добиться автоматического запуска сторонней динамической библиотеки с обходом всех ограничений. Для пользователя это опасно тем, что злоумышленник сможет использовать уязвимость даже после перезапуска устройства и без необходимости открытия клиента Telegram.
Мэтт Йохансен считает, что в ошибке виноваты не только разработчики мессенджера, но и Apple. Компания внимательно следит за наличием Hardened Runtime в приложениях для iOS, но не требует этого для macOS.
