{"id":183718,"date":"2026-10-09T10:54:03","date_gmt":"2026-10-09T08:54:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-telegram-desktop-pozvolyayushhaya-otpravit-proizvolnye-fajly-pri-klike-na-ssylku"},"modified":"2026-10-09T10:54:09","modified_gmt":"2026-10-09T08:54:09","slug":"telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","title":{"rendered":"Turvalisuse probleem Telegram Desktopis, mis v\u00f5imaldab saata suvalisi faile lingile kl\u00f5psates","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Selgusid \u00fcksikasjad ja meetod haavatavuse (CVE-2026-107181) \u00e4rakasutamiseks Telegram Desktopis, ametlikus Telegrami kliendis lauaarvutitele. Probleem tuleneb ebapiisavast mittevahetatud eraldusm\u00e4rkide t\u00f6\u00f6tlemisest IPC k\u00e4skudes, mis v\u00f5imaldas r\u00fcndajal klikkimisel saadetud lingile edastada ohvri s\u00fcsteemist r\u00fcndajale k\u00f5iki faile, sealhulgas seansiv\u00f5tmete faile, mida saaks kasutada Telegrami konto haaramiseks. Haavatavus on parandatud Telegram Desktopi v\u00e4ljalaskes 7.2.9.<\/p>\n

Kui kl\u00f5psate linkidel «tg:\/\/», k\u00e4ivitab operatsioonis\u00fcsteem sellega seotud rakenduse Telegram Desktop. Kui s\u00fcsteemis on juba k\u00e4ivitunud teine selle rakenduse eksemplar, edastab k\u00e4ivitatud protsess lingi IPC-liidese kaudu sellele protsessile. Probleem on selles, et kui lingi parameetrites m\u00e4\u00e4rata s\u00fcmbol «;» (n\u00e4iteks «tg:\/\/x?a=1;OPEN…»), jaguneb sisu ja p\u00e4rast s\u00fcmbolit «;» olevad osad t\u00f6\u00f6deldakse kui eraldi k\u00e4sud.<\/p>\n

R\u00fcnnaku tegemiseks kasutatakse k\u00e4sku OPEN koos URI skeemiga «interpret:», mis on m\u00f5eldud teenuslike skriptide k\u00e4itamiseks IPC kaudu, mida kasutati uusversioonide automaatseks saatmiseks kanalitesse. Skript on ette m\u00e4\u00e4ratud kohalik fail, milles on n\u00e4idatud kanalis saatmiseks m\u00f5eldud fail ja kanali ID. Faili tee skriptide juurde t\u00f6\u00f6deldakse teenusliku alamkausta suhtes, kuid kuna puhtuse t\u00f5ttu puudub «..» failiteedes, saab r\u00fcndaja p\u00e4\u00e4seda ligi failidele, mis on salvestatud p\u00f5hikaustast v\u00e4ljaspool. N\u00e4iteks v\u00f5ib fail laadida oma telegrammi gruppi ja seej\u00e4rel viidata sellele failile kui skriptile, valmistades ette lingi t\u00fc\u00fcpi:<\/p>\n

tg:\/\/x?a=1;OPEN:interpret:..\/..\/..\/Downloads\/Telegram%20Desktop\/instructions.txt<\/p>\n

R\u00fcnnaku etapid:<\/p>\n