Una vulnerabilidad en Telegram para Android podría explotarse cuando el usuario respondiera una llamada de voz. La falla, combinada con otras dos vulnerabilidades, permitía el control total del teléfono celular, incluido el acceso a los mensajes, el micrófono y la cámara.
El descubrimiento fue dado a conocer este jueves 29 de octubre por la empresa de seguridad NebuSec. El problema ya se solucionó en la versión 12.10.4, lanzada a finales de septiembre.
Cómo funcionó el ataque
Como explica el sitio web The Hacker News, para iniciar el ataque, el delincuente simplemente tenía que tener una cuenta normal de Telegram y conseguir que la víctima atendiera una llamada. No fue necesario convencerla para que instalara otra aplicación o abriera una conexión.
El problema estaba en la forma en que la aplicación procesaba pequeños mensajes técnicos intercambiados durante la llamada, utilizados para comunicar información como el estado del micrófono y la cámara. Cuando faltaban ciertos datos, Telegram podía acceder incorrectamente a la memoria.
El fallo, en sí mismo, no daba el control total del smartphone. Según NebuSec, era necesario combinarlo con una vulnerabilidad que exponía información y otra en Android que permitía obtener los máximos permisos en el sistema.
Cómo comprobar si tu Telegram está protegido
Según NebuSec, el problema afecta a las versiones 8.6.2 a 12.10.3, lanzadas entre marzo de 2022 y septiembre de 2026. Para verificar su versión, abra Configuración de Telegram y verifique el número en la parte inferior de la página. Si es anterior a 12.10.4, actualice la aplicación.
Dado que el ataque requiere que la víctima responda, rechazar la llamada evita esta forma de explotación. Configurar la opción de privacidad de llamadas en «Nadie» también bloquea esta vía de ataque, aunque no reemplaza la actualización.
Los investigadores confirmaron el problema en llamadas de voz privadas en teléfonos inteligentes Android con arquitectura ARM64. Hasta el momento, no han presentado pruebas de que el mismo ataque funcione en iOS y aplicaciones informáticas o en llamadas grupales.
Mirá también: Cuidado al instalar WhatsApp en Android: aplicación falsa superó las 500.000 descargas
