פגיעות ב-Telegram Desktop מאפשרת שליחת קבצים שרירותיים על ידי לחיצה על קישור.

פרטים ושיטות ניצול של פגיעות (CVE-2026-107181) ב-Telegram Desktop, לקוח שולחן העבודה הרשמי של Telegram, נחשפו. הבעיה נגרמת עקב טיפול לא תקין בתווי הפרדה שאינם מפרידים בפקודות IPC. הדבר איפשר לחיצה על קישור משותף כדי להעביר קבצים ממערכת הקורבן לתוקף, כולל קבצים המכילים מפתחות הפעלה שניתן להשתמש בהם כדי לחטוף חשבון Telegram. הפגיעות תוקנה ב-Telegram Desktop 7.2.9.

בעת לחיצה על קישורי "tg://", מערכת ההפעלה מפעילה את יישום Telegram Desktop המשויך לסוג קישור זה. אם מופע אחר של יישום זה כבר פועל במערכת, התהליך המפעיל מעביר את הקישור אליו דרך שקע באמצעות ממשק IPC. הבעיה היא שאם כוללים את התו ";" בין פרמטרי הקישור (לדוגמה, "tg://x?a=1;OPEN…"), התוכן מפוצל, והחלקים הבאים לאחר התו ";" מעובדים כפקודות נפרדות.

ההתקפה משתמשת בפקודת OPEN יחד עם סכימת ה-URI "interpret:", שנועדה להפעיל סקריפטים של שירות דרך IPC, המשמשים לדחיפה אוטומטית של גרסאות חדשות לערוצים. סקריפט הוא קובץ מקומי מוגדר מראש המציין את הקובץ שיש לשלוח לערוץ ואת מזהה הערוץ. נתיב הקובץ לסקריפטים מעובד יחסית לתת-הספרייה של השירות, אך עקב היעדר הסרת "../" בנתיבי הקבצים, התוקף יכול לגשת לקבצים המאוחסנים מחוץ לספריית הבסיס. לדוגמה, הוא יכול להעלות קובץ לקבוצת הטלגרם שלו ולאחר מכן להפנות אליו כסקריפט על ידי יצירת קישור כזה:

tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt

שלבי ההתקפה:

• התוקף מוסיף את הקורבן לקבוצה שלו (עם הגדרות ברירת המחדל, הוספת הקורבן אינה דורשת אישור מהאדם הנוסף) ושולח קובץ טקסט לקבוצה המכיל את הערוץ ואת הנתיב לסקריפט. טלגרם שומרת קובץ זה בתת-ספריית מערכת מוגדרת מראש כאשר הקורבן מצטרף לקבוצה.

  ערוץ: 2005234537
  file: tdata/D877F783D5D3EF8Cs

• התוקף שולח לקורבן קישור שנראה תמים למארח שלו (למשל, "https://coolsite.org"), אשר, כאשר נפתח באמצעות הפניה אל שרת ה-URI של התוקף מוחלף ב-URI בצורה 'tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….
• כאשר לוחצים על הקישור, הדפדפן קורא למטפל ה-URI "tg://", אשר מפעיל את ביצוע שרשרת הפקודות שהוזכרה לעיל, וכתוצאה מכך קבצים נשלחים לערוץ של התוקף מבלי להציג התראות או לבקש אישור שליחה.
• לאחר קבלת קבצים מתת-הספרייה tdata המכילים מפתחות הצפנה והרשאה, ובהיעדר סיסמה מקומית שנקבעה על ידי המשתמש, התוקף יכול לשכפל את סשן החיבור של הקורבן במכשיר שלו.

מקור: OpenNet.ru