La aplicación de mensajería amigable con las criptomonedas, Telegram, ha desmentido recientemente acusaciones sobre una vulnerabilidad en su plataforma que supuestamente exponía a sus usuarios a ataques.
La supuesta vulnerabilidad
La firma de seguridad blockchain CertiK informó el 9 de abril que la aplicación de escritorio de Telegram podría tener una vulnerabilidad crítica de Ejecución Remota de Código (RCE, por sus siglas en inglés). La firma declaró: «Se detectó un posible RCE en el procesamiento de medios de la aplicación de escritorio de Telegram. Este problema expone a los usuarios a ataques maliciosos a través de archivos de medios especialmente diseñados, como imágenes o videos».
Según CertiK, esta vulnerabilidad podría permitir a los actores maliciosos enviar RCE a los usuarios, exponiéndolos potencialmente a ataques a través de archivos de medios especialmente diseñados.
La firma de seguridad aclaró que la vulnerabilidad se limita a las aplicaciones de escritorio, las cuales pueden ejecutar programas contenidos dentro de archivos. Las aplicaciones móviles no se ven afectadas, ya que no ejecutan programas.
CertiK recomendó a los usuarios desactivar la función de descarga automática en la aplicación de escritorio por motivos de seguridad. Los usuarios pueden ajustar la configuración de descarga de medios a descargas manuales en la configuración de la aplicación.
Respuesta de Telegram
En una publicación del 9 de abril en X (anteriormente Twitter), Telegram afirmó que los videos que circulaban probablemente eran un engaño, ya que no existía tal vulnerabilidad en su plataforma.
We can't confirm that such a vulnerability exists. This video is likely a hoax.
Anyone can report potential vulnerabilities in our apps and get rewards: https://t.co/UkzPFSVigy
— Telegram Messenger (@telegram) April 9, 2024
No obstante, la plataforma instó a los usuarios a informar cualquier amenaza o vulnerabilidad potencial en sus aplicaciones a través de su programa de recompensas por errores.
Por otro lado, un portavoz de CertiK comunicó a CryptoSlate que la firma no había estado en contacto con Telegram y que la noticia de la vulnerabilidad había surgido de la comunidad de seguridad. Añadió que la versión móvil de la aplicación de mensajería estaba segura de esta vulnerabilidad porque «no ejecuta directamente programas ejecutables como los escritorios, que generalmente requieren firmas».
CertiK también indicó que su publicación en redes sociales sobre la vulnerabilidad tenía la intención de aumentar la conciencia sobre el problema potencial y recordar a los usuarios las mejores prácticas.
Este episodio subraya la importancia de mantenerse vigilantes y seguir las recomendaciones de seguridad, especialmente en plataformas que juegan un papel crucial en la comunicación y el manejo de criptoactivos.
