Telegram安卓版漏洞允许攻击者在用户接听语音通话时运行代码

ZM
ZM

暗镜

2026年11月10日 07:00
北京

去阅读

据安全初创公司 NebuSec 称，Telegram 安卓版的一个漏洞可能与另外两个漏洞结合使用，一旦受害者接听语音通话，攻击者就能完全控制受害者的手机。

攻击者只需要一个普通的 Telegram 账号。Telegram 在 9 月下旬发布的 12.10.4 版本应用中修复了该漏洞，NebuSec于 10 月 29 日披露了该漏洞。该漏洞与信息泄露漏洞结合使用，使攻击者能够从Telegram应用逃逸到Android系统。如果再利用Android系统的root权限漏洞，攻击者就能完全控制手机，包括短信、麦克风和摄像头。从 8.6.2 到 12.10.3 的所有版本都可能存在此漏洞。这些版本发布于 2022 年 3 月至 2026 年 9 月之间。

该公司已在基于 ARM64 的手机上的私人语音通话中证实了这一点，但目前还没有证据表明这会直接影响 Telegram 的 iOS 和桌面应用程序或群组通话。

所有使用安卓版 Telegram 的用户都应确保应用版本为 12.10.4 或更高版本。版本号显示在应用设置页面的底部。截至 10 月 29 日，该漏洞尚未被分配 CVE 编号。

这种攻击需要受害者接听电话，因此将 Telegram 的通话隐私选项设置为“无人”即可阻止这种攻击，拒绝来电也可以。

NebuSec 尚未发现该漏洞被用于实际攻击，并且认为其他人都没有意识到它可以被用于远程代码执行。

NebuSec 于 9 月 26 日向 Telegram 报告了该漏洞，当时 12.10.4 版本已经发布。Zou 表示，Telegram 确认收到了该报告，但认为该漏洞无法被利用来执行远程代码，因此没有分配 CVE 编号，也没有支付漏洞赏金。Hacker News 已就此事联系 Telegram 寻求置评。

在 Telegram 通话期间，两个应用程序会互相发送短消息来建立通话并报告通话状态。其中一种名为 MediaState 的消息会报告麦克风是否静音、摄像头是否开启以及视频旋转角度。

NebuSec指出，缺陷出在读取MediaState消息的代码中。该代码未能正确处理缺失字段，并访问了不应访问的内存。

.10.3 版本公开的源代码中存在一个与上述描述相符的缺陷。当 MediaState 消息包含旋转值时，代码会先检查该值，然后读取另一个字段——视频状态，即使该消息中根本没有视频状态字段。

12.10.4 版本从右侧字段读取旋转值。调用此消息的代码在 8.6.2 版本中启用，这是 NebuSec 命名的第一个版本。

Telegram 的 Android、iOS 和桌面应用程序使用名为 tgcalls 的共享库进行通话。2026 年 4 月 21 日，一项名为“修复摄像头旋转”的更改对 tgcalls 进行了相同的修正。

此外，零日漏洞利用倡议组织（ZDI）于10月15日发布了一份安全公告，指出Telegram应用用于绘制动态贴纸的库rlottie存在一个未修复的漏洞。ZDI表示，该漏洞编号为CVE-2026-111105（CVSS评分：7.0），如果用户打开恶意文件或页面，攻击者可以利用该漏洞执行代码。

Telegram 曾在 3 月份告诉 ZDI，其服务器上的检查可以缓解该漏洞，并在 4 月份要求 ZDI 提供完整的远程代码执行链。

研究员赛义夫丁·阿齐兹在东京OffensiveCon 大会的演讲摘要中指出，这些检查机制可能被绕过。该研究利用人工智能引导的模糊测试（即向代码输入大量错误或意外的数据）来查找 Telegram iOS、Android 和桌面应用中 rlottie 的内存损坏漏洞。随后，研究人员将这些漏洞与贴纸分发和检查机制中的缺陷结合起来，在 Telegram iOS 版上运行代码。

根据 Telegram 公开的源代码，Android 应用在 6 月的 12.8.1 版本和8 月的12.10.0版本之间，用 Rust 编写的库 tlottie 替换了 rlottie。桌面应用的代码在 9 月份也进行了同样的替换，而iOS 应用的代码在 10 月份的 13.0 版本中加入了 tlottie，同时仍然保留了 rlottie。