Detalji i metode iskorištavanja ranjivosti (CVE-2026-107181) u Telegram Desktopu, službenom Telegram desktop klijentu, otkriveni su. Problem je uzrokovan nepravilnim rukovanjem neizbjegnutim znakovima razdjelnika u IPC naredbama. Ovo je omogućavalo klikom na dijeljeni link da se prenesu bilo koje datoteke sa sistema žrtve na napadača, uključujući datoteke koje sadrže ključeve sesije koji bi se mogli koristiti za otmicu Telegram računa. Ranjivost je ispravljena u Telegram Desktopu 7.2.9.
Klikom na linkove "tg://", operativni sistem pokreće Telegram Desktop aplikaciju povezanu s ovom vrstom linka. Ako je druga instanca ove aplikacije već pokrenuta na sistemu, pokrenuti proces prosljeđuje link do nje putem socketa koristeći IPC interfejs. Problem je u tome što ako uključite znak ";" među parametre linka (na primjer, "tg://x?a=1;OPEN…"), sadržaj se dijeli, a dijelovi koji slijede nakon znaka ";" se obrađuju kao odvojene naredbe.
Napad koristi naredbu OPEN zajedno sa URI shemom "interpret:", koja je dizajnirana za pokretanje servisnih skripti putem IPC-a, koje se koriste za automatsko slanje novih izdanja na kanale. Skripta je unaprijed definirana lokalna datoteka koja određuje datoteku koja će se poslati na kanal i ID kanala. Putanja datoteke do skripti se obrađuje u odnosu na poddirektorij usluge, ali zbog nedostatka uklanjanja "../" u putanjama datoteka, napadač može pristupiti datotekama pohranjenim izvan osnovnog direktorija. Na primjer, mogli bi prenijeti datoteku u svoju Telegram grupu, a zatim je referencirati kao skriptu kreiranjem veze poput ove:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Faze napada:
- Napadač dodaje žrtvu svojoj grupi (prema zadanim postavkama, dodavanje žrtve ne zahtijeva potvrdu osobe koja se dodaje) i šalje grupi tekstualnu datoteku koja sadrži kanal i putanju do skripte. Telegram sprema ovu datoteku u unaprijed definirani sistemski poddirektorij kada se žrtva pridruži grupi.
kanal: 2005234537
file: tdata/D877F783D5D3EF8Cs - Napadač šalje žrtvi link koji izgleda nevino na njihovom hostu (npr. "https://coolsite.org"), koji, kada se otvori putem preusmjeravanja na server URI napadača se zamjenjuje URI-jem oblika 'tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….
- Kada se klikne na link, preglednik poziva URI handler "tg://", koji pokreće gore spomenuti lanac izvršavanja naredbi, što rezultira slanjem datoteka na kanal napadača bez prikazivanja ikakvih obavještenja ili traženja potvrde slanja.
- Nakon što primi datoteke iz poddirektorija tdata koje sadrže ključeve za šifriranje i autorizaciju, u nedostatku lokalne lozinke koju je postavio korisnik, napadač može klonirati sesiju povezivanja žrtve na njihovom uređaju.
izvor: opennet.ru
