Telegram behebt Android-Sicherheitslücke nach Exploit chain über Sprachanrufe
Eine Sicherheitslücke in Telegram für Android konnte laut dem Sicherheitsunternehmen NebuSec die Ausführung von Code ermöglichen, nachdem ein Nutzer einen privaten Sprachanruf angenommen hatte, sofern sie mit zwei weiteren Schwachstellen kombiniert wurde. remote code execution bedeutet, dass ein Gerät Anweisungen ausführt, die von einem Angreifer bereitgestellt wurden. Telegram behob die Sicherheitslücke bei der Anrufverarbeitung in Version 12.10.4, die Ende September veröffentlicht wurde, und NebuSec legte seine Erkenntnisse am 29. Oktober offen.
NebuSec erklärte, der anfällige Bereich reiche von Telegram für Android 8.6.2 bis 12.10.3 und umfasse damit Versionen, die zwischen März 2022 und September 2026 veröffentlicht wurden. Das Unternehmen bestätigte das Verhalten bei privaten Anrufen auf ARM64-Smartphones, die eine bei Mobilgeräten verbreitete Prozessorarchitektur verwenden. Es wurden keine Hinweise darauf gefunden, dass die Sicherheitslücke Gruppenanrufe oder die iOS- und Desktop-Anwendungen von Telegram direkt betrifft. Für den Angriff war lediglich ein normales Telegram-Konto erforderlich, das vorgesehene Opfer musste den Anruf jedoch weiterhin annehmen.
Die Sicherheitslücke allein war nur ein Teil einer größeren Exploit chain. NebuSec erklärte, die Schwachstelle bei Anrufen sei mit einem information leak kombiniert worden, also einem Fehler, der Daten aus dem Speicher offenlegt, um aus der Telegram-App auszubrechen und Android zu erreichen. Ein weiterer Android root exploit, der die höchste Kontrollebene über das Gerät verschafft, konnte einem Angreifer anschließend Zugriff auf das Smartphone einschließlich seiner Nachrichten, seines Mikrofons und seiner Kamera geben. NebuSec erklärte, es habe keinen Einsatz der Exploit chain bei realen Angriffen beobachtet und gehe davon aus, dass andere die Anrufschwachstelle nicht als Weg zu remote code execution erkannt hätten.
Nutzer sollten Telegram für Android auf Version 12.10.4 oder neuer aktualisieren. Die installierte Version wird unten auf der Einstellungsseite der App angezeigt. Personen, die kein Update durchführen können, können diesen konkreten Angriffsweg über Anrufe verhindern, indem sie in den Telegram-Datenschutzeinstellungen für Anrufe „Niemand“ auswählen oder eingehende Anrufe ablehnen. Die Telegram-Android-Sicherheitslücke hatte mit Stand vom 29. Oktober keine CVE-Kennung.
NebuSec meldete das Problem am 26. September an Telegram, nachdem Version 12.10.4 bereits veröffentlicht worden war. Laut NebuSec bestätigte Telegram den Erhalt des Berichts, stimmte jedoch nicht zu, dass sich die Sicherheitslücke zu remote code execution weiterentwickeln lasse. NebuSec erklärte, es sei keine Bug bounty ausgezahlt und keine CVE zugewiesen worden. The Hacker News teilte mit, Telegram um eine Stellungnahme gebeten zu haben.
Der zugrunde liegende Fehler betraf MediaState-Nachrichten, die ausgetauscht werden, während Telegram einen Anruf aufbaut und Änderungen an dessen Status übermittelt. Diese Nachrichten können beschreiben, ob das Mikrofon stummgeschaltet ist, ob die Kamera aktiv ist und wie das Video gedreht wird. NebuSec zufolge verarbeitete der empfangende Code eine Nachricht mit einem fehlenden Feld nicht sicher, wodurch er auf Speicher zugriff, den er nicht lesen durfte.
The Hacker News prüfte den von Telegram veröffentlichten source code für Version 12.10.3 und fand Code, der dieser Beschreibung entsprach. Wenn eine MediaState-Nachricht einen Rotationswert bereitstellte, prüfte der alte Code diesen Wert, las anschließend jedoch das Feld für den Videozustand aus – selbst wenn dieses separate Feld nicht vorhanden war. Version 12.10.4 liest den Rotationswert aus dem richtigen Feld. Der aufrufende Code, der an der Verarbeitung der Nachricht beteiligt war, wurde in Version 8.6.2 aktiviert, der ersten von NebuSec identifizierten betroffenen Version.
Die Android-, iOS- und Desktop-Anwendungen von Telegram verwenden gemeinsam eine Anrufbibliothek namens tgcalls. Eine als Korrektur der Kamerarotation bezeichnete Änderung wurde dieser Bibliothek am 21. April 2026 hinzugefügt. Der iOS-source code enthielt sie ab Version 12.7 im Mai, während der Desktop-source code sie im Juli mit Version 7.0.1 übernahm. Android erhielt die Korrektur erst mit Version 12.10.4 im September. Es wurde nicht nachgewiesen, dass der frühere Code unter iOS oder auf Desktop-Systemen ausgenutzt werden konnte.
Die öffentlich verfügbaren Belege für die vollständige Exploit chain bleiben begrenzt. NebuSec veröffentlichte eine Demonstration mit einem Angreifer-Smartphone und einem Opfer-Smartphone. Nachdem das Opfer einen Anruf angenommen hat, kehrt das zweite Gerät etwa eine halbe Minute später zu seinem Startbildschirm zurück, seine App-Symbole bewegen sich auf dem Display nach unten und eine Meldung über die Übernahme erscheint. Die Aufnahme nennt weder die verwendete Telegram- noch die Android-Version. NebuSec hatte bis zum 29. Oktober keine technische Analyse veröffentlicht, sodass Einzelheiten zu den beiden zusätzlichen Schwachstellen und der vollständigen Exploit chain derzeit von der Demonstration und den Aussagen des Unternehmens abhängen.
NebuSec, das von Y Combinator unterstützt wird, gibt an, sein auf OpenAIs GPT-5.4-Modell ausgeführtes Produkt Code Security habe die Sicherheitslücke gefunden. Im Juli beschrieb das Unternehmen außerdem eine Android Exploit chain, die mit einer Firefox-Schwachstelle begann und auf einem ARM64-Gerät mit Android 17 den kernel erreichte, den zentralen Teil des Betriebssystems.
Ein separates Telegram-bezogenes memory-safety-Problem betrifft rlottie, eine Bibliothek, die von Telegram-Anwendungen zur Anzeige animierter Sticker verwendet wird. Die Zero Day Initiative veröffentlichte am 15. Oktober einen Sicherheitshinweis zu CVE-2026-111105, einer nicht behobenen Sicherheitslücke mit einem Schweregrad von 7,0 nach dem Common Vulnerability Scoring System. ZDI erklärte, ein Angreifer könne Code ausführen, wenn ein Nutzer eine schädliche Datei oder Seite öffne. Telegram teilte ZDI im März mit, dass Prüfungen auf seinen Servern das Problem abschwächten, und bat im April um eine vollständige remote code execution chain.
Die Zusammenfassung einer auf der OffensiveCon in Tokio vorgestellten Forschungsarbeit besagt, dass diese Serverprüfungen umgangen werden konnten. Bei der Arbeit wurde KI-gestütztes fuzzing eingesetzt, bei dem Software wiederholt fehlerhafte oder unerwartete Daten erhält, um memory-corruption-Sicherheitslücken in rlottie in den Android-, iOS- und Desktop-Anwendungen von Telegram zu identifizieren. Anschließend kombinierte die Forschungsarbeit diese Sicherheitslücken mit Schwächen bei der Bereitstellung und Überprüfung von Stickern, um Code in Telegram für iOS auszuführen.
Der von Telegram veröffentlichte source code zeigt, dass Android rlottie zwischen Version 12.8.1 im Juni und Version 12.10.0 im August durch eine Rust-basierte Bibliothek namens tlottie ersetzte. Beim Desktop-source code erfolgte dieselbe Änderung im September. Der iOS-source code fügte tlottie im Oktober mit Version 13.0 hinzu, enthielt jedoch weiterhin rlottie. Für Organisationen, die Risiken mobiler Apps zusammen mit ihrer umfassenderen Umgebung bewerten, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung an.
Für Nutzer und IT-Teams besteht die unmittelbar erforderliche Maßnahme darin, zu überprüfen, ob jede Android-Installation Version 12.10.4 oder neuer verwendet. Dass keine Ausnutzung beobachtet wurde, verringert die verfügbaren Hinweise auf ein aktives Risiko, ersetzt jedoch weder die Installation der korrigierten Version noch die Einschränkung von Anrufen auf Geräten, die noch nicht aktualisiert werden können.