Уязвимость была обнаружена еще в феврале, а команда мессенджера — тогда же уведомлена о ней. Однако спустя три месяца никакого ответа не последовало.

Один из инженеров Google Дэн Рева нашел уязвимость в приложении Telegram для macOS. Она позволяет злоумышленникам получить доступ к камере и микрофону компьютера.

Позже его пост заметил исследователь в области информационной безопасности Мэтт Йохансен. По его словам, уязвимость была впервые обнаружена еще в феврале. Тогда же данные о ней были отправлены в Telegram, однако представители мессенджера так и не ответили. Теперь Рева решил опубликовать информацию о ней. 

Заключается эксплойт в том, что Telegram не всегда использует Hardened Runtime и Entitlements — встроенные Apple в macOS средства защиты. Первое не позволяет вредоносному коду внедряться в систему, а второе — отвечает за контроль прав доступа программ к микрофону и камере. 

Соответственно в их отсутствие злоумышленники могут внедрить стороннюю динамическую библиотеку. Она, обозначаясь для системы как Telegram, может записывать видео с веб-камеры и звук с микрофона, сохраняя их в файл. 

Это станет возможным только в том случае, если вы разрешили Telegram доступ к вашей камере и микрофону, но вряд ли вы его запретили.

Кстати, позже из-за этой же уязвимости злоумышленники смогут получить доступ к камере и микрофону в целом, а не только в приложении Telegram. Для этого они могут воспользоваться механизмом LaunchAgent — системной службой сценариев в macOS.