코사인, 텔레그램 신기능 보안 위험 경고: QuickJS 실행 엔진에 샌드박스 탈출 취약점 존재 가능성

Odaily 보도에 따르면, 슬로우미스트(SlowMist) 창립자 코사인이 텔레그램 최신 버전이 채팅 메시지에 인터랙티브 앱을 직접 삽입하는 기능을 지원하며, 해당 기능이 QuickJS로 JavaScript를 실행해 악성 코드 공격 위험을 높일 수 있다고 경고했다. 사용자들에게 신중한 업그레이드를 권고했다.

텔레그램은 11월 9일 출시한 Bot API 10.4에서 이 기능을 공식 도입했다. 공식적으로 QuickJS 샌드박스 및 네트워크 접근 제한을 제공하지만, 최근 보안 연구에 따르면 해당 실행 엔진에 샌드박스 격리를 우회할 수 있는 원격 코드 실행 취약점이 존재했던 것으로 밝혀졌다.