慢雾余弦警告 Telegram チャット埋め込み機能は悪意のあるコードのリスクがあります

慢雾の創設者余弦が警告を発表しました。Telegramの新バージョンはチャットメッセージ内に直接インタラクティブアプリを埋め込むことをサポートしており、関連機能はQuickJSを使用してJavaScriptを実行します。これにより悪意のあるコード攻撃のリスクが増加する可能性があるため、ユーザーには慎重なアップグレードを推奨します。

Telegramは11月9日にBot API 10.4を正式にリリースし、この機能を導入しました。公式はQuickJSサンドボックスとネットワークアクセス制限を提供していますが、最近のセキュリティ研究者は、関連する実行エンジンにサンドボックスの隔離を突破する可能性のあるリモートコード実行の脆弱性が存在していたことを発見しました。