スローミスト創業者、テレグラム新機能にサンドボックス脱出リスクの可能性を警告

スローミスト（SlowMist）の創業者Cos氏は、チャットメッセージ内に直接埋め込むインタラクティブなアプリへのテレグラムの新たな対応により、悪意あるコードを使った攻撃のリスクが高まる可能性があると警告した。Cos氏によると、この機能はQuickJSを通じてJavaScriptを実行する。利用者には、アップグレードの際に注意するよう促された。

テレグラムは11月9日に公開したBot API 10.4を通じて、この機能を正式に追加した。公式実装にはQuickJSのサンドボックスとネットワークアクセスの制限が含まれる。しかし、最近のセキュリティ調査では、実行エンジンに過去、サンドボックスによる隔離を回避する可能性のあるリモートコード実行の脆弱性があったことが分かった。