慢雾创始人余弦于 11 月 12 日在社交媒体上提醒，新版 Telegram 支持在消息中内嵌“应用”，但该功能缺乏沙盒保护，所使用的 QuickJS 解释器可能成为恶意代码触发执行的路径。余弦指出，花里胡哨的功能容易引入不必要的风险，如今 AI 驱动的漏洞挖掘与利用能力已远胜从前，因此建议用户暂缓更新 Telegram。
正文解读
这一警告与 Telegram 创始人 Pavel Durov 于 11 月 10 日公布的新功能直接相关。Durov 表示，任意 Telegram 消息都可成为一个应用，体积不足 4 KB，可即时下载，并支持交互渲染与支付等机制。随后，Bot News 介绍称，Bot API 10.4 可在消息气泡中发送原生 HTML 微件，安全研究者 V12 随即发文称“任意 Telegram 消息现在都可能变成远程代码执行”。
安全研究者 owarida 进一步分析指出，Telegram 为这些 HTML 微件提供的所谓“沙盒”，实际上是运行在线程上的进程内 QuickJS（C 语言）解释器，并未采用 fork、isolatedProcess 或 seccomp 等隔离措施。这意味着一旦 QuickJS 出现漏洞，攻击者无需额外逃逸即可获得与 Telegram 客户端相同的权限。owarida 还提到，该问题属于可由标准 JavaScript 触发的释放后使用漏洞，目前修复仅存在于主分支，且 QuickJS 过去已多次被曝出漏洞。
原创文章，作者：admin，如若转载，请注明出处：https://www.23btc.com/telegram%e5%86%85%e5%b5%8c%e5%ba%94%e7%94%a8%e6%97%a0%e6%b2%99%e7%9b%92%ef%bc%8cquickjs%e6%88%96%e6%88%90%e6%81%b6%e6%84%8f%e8%b7%af%e5%be%84.htm
