Slow Mist founder Yu Xian cảnh báo rủi ro bảo mật của tính năng mới trên Telegram: QuickJS execution engine có thể tồn tại nguy cơ thoát khỏi sandbox

Theo tin từ Odaily, người sáng lập Slow Mist, Yu Xian, đã đăng bài cảnh báo rằng phiên bản mới của Telegram hỗ trợ nhúng trực tiếp các ứng dụng tương tác trong tin nhắn chat, tính năng liên quan sử dụng QuickJS để thực thi JavaScript, có thể làm tăng nguy cơ tấn công bằng mã độc, khuyến nghị người dùng thận trọng khi nâng cấp.

Telegram đã chính thức giới thiệu tính năng này thông qua Bot API 10.4 ra mắt vào ngày 9 tháng 11. Mặc dù phía chính thức đã cung cấp QuickJS sandbox và giới hạn truy cập mạng, nhưng nghiên cứu bảo mật gần đây phát hiện rằng execution engine liên quan từng tồn tại lỗ hổng thực thi mã từ xa có thể vượt qua cách ly sandbox.