一名谷歌安全工程师透露，MacOS上的Telegram应用程序存在一个漏洞，可被利用来未经授权访问设备的摄像头。
通常情况下，苹果的透明、同意和控制（TCC）机制管理对受保护区域和硬件（如摄像头和麦克风）的访问，甚至管理员也无法访问这些区域和硬件，除非应用程序被授予访问权限。
Telegram是一款需要访问电脑摄像头和麦克风的应用程序，以满足用户的通信需求，如视频通话。
研究人员发现，由于Telegram的macOS应用程序缺乏 "Hardened Runtime"，因此可以使用 "DYLD_INSERT_LIBRARIES "变量向其注入恶意动态库（Dylib）。 注入的Dylib使代码甚至在Telegram应用程序启动前就开始运行，使其能够完全访问某些功能，包括摄像头。
特制的Dylib包含的代码可暗中激活计算机的摄像头录制视频，而用户却对此视而不见。 即使摄像头的活动指示灯亮起，用户也可能不会怀疑这意味着正在进行视频录制，而认为这是由于启动Telegram应用程序而导致的标准激活。
值得注意的是，由于Telegram应用运行在一个特殊的 "沙盒 "中，外部代码通常不可能滥用Telegram应用对摄像头的访问权限，但是，研究人员发现，可以使用 "LaunchAgents "绕过这种保护，通过计划执行在后台运行该应用。
danrevah.github.io
录制的视频保存在本地文件"/tmp/telegram.logs "中，攻击者理论上可以从该文件中获取视频，从而严重侵犯受害者的隐私。 在谷歌安全研究员在他的文章中提出的概念验证示例中撰文Dylib可捕获3秒钟的视频并保存在本地，以便将来提取。
danrevah.github.io
如果有人怀有更邪恶的目的，修改代码将摄像头画面直接流式传输到外部URL，或将视频片段外泄到他们控制的服务器上，这并不牵强。
电脑pn码在哪
在以下方面存在薄弱环节电报尽管与Telegram的安全团队进行了多次通信，但尚未采取任何行动来补救该问题。
2023年3月，经过多次与Telegram协调披露信息的努力，研究人员放弃了，并于今天发布了报告，披露了有抱负的攻击者利用该漏洞所需的所有信息。
RestorePrivacy已经联系了Telegram的新闻频道，要求对该漏洞发表评论，并询问该信使应用团队是否有修复补丁的计划，但截至发稿时，我们尚未收到回复。
2023年5月16日更新： 我们从Telegram收到以下评论：
这一拟议的弱点不会使用户在默认情况下面临风险。 要发生研究人员提出的情况，用户必须在系统中安装恶意软件。
这种情况与苹果的权限安全有关，而与Telegram无关。 真正的问题是，似乎有可能绕过苹果的沙盒限制，该限制是专门为防止第三方应用程序被滥用而创建的。
尽管如此，Telegram已经对其自身进行了修改--更新正在App Store上等待批准。 那些使用从我们网站macos.telegram.org下载的应用程序的用户根本不会有任何风险。
- 电报发言人
"我绝不会用10英尺长的杆子碰Telegram"。
是你吗，Bidet先生？
Telegram作为一个通讯平台本身就非常不安全。 在这个平台上有数不清的诈骗和欺诈、犯罪和其他不道德行为、大量的毒性和充满恶意软件的渠道。 聊天默认情况下没有端到端加密。 我不得不说Telegram比WhatsApp更糟糕。 Signal和Session要好得多。 我想说，你最好的朋友和亲爱的家人会毫不犹豫地拒绝安装和使用Signal与你交流。 通过这种方式，您既可以获得隐私，又可以远离不必要的人。 我绝对不会碰Telegram。