慢雾余弦：新版Telegram消息内嵌应用缺少沙盒保护，建议暂不更新

contact@theblockbeats.org (律动BlockBeats)

11 月 12 日，慢雾创始人余弦在社交媒体发文称，新版 Telegram 支持在消息中内嵌「应用」，但没有沙盒保护，所使用的 QuickJS 有可能成为恶意代码触发执行的路径。他表示，花里胡哨的功能容易引入不必要的风险，现在的 AI 漏洞挖掘和利用已经远胜从前，并建议用户暂不更新 Telegram。

此事与 Telegram 创始人 Pavel Durov 11 月 10 日公布的新功能相关。Durov 称任意 Telegram 消息都可成为一个应用，体积不足 4 KB、可即时下载，并支持交互渲染与支付等机制。其指向的 Bot News 介绍称，Bot API 10.4 可在消息气泡中发送原生 HTML 微件。随后，安全研究者 V12 发文称，「任意 Telegram 消息现在都可能变成远程代码执行」。安全研究者 owarida 指出，Telegram 为这些 HTML 微件提供的所谓「沙盒」，实际是进程内、运行于线程上的 QuickJS（C 语言）解释器，未见 fork、isolatedProcess 或 seccomp 等隔离措施，一旦出现 QuickJS 漏洞，攻击者即可在无需额外逃逸的情况下获得与 Telegram 客户端相同的权限。owarida 称，该问题是解释器中可由标准 JavaScript 触发的释放后使用漏洞，修复目前仍只存在于主分支，并提到 QuickJS 过去已多次出现漏洞。