Sårbarhet i Telegram Desktop som möjliggör att skicka godtyckliga filer genom att klicka på en länk

Detaljer och metoder för att utnyttja sårbarheten (CVE-2026-107181) i Telegram Desktop, Telegrams officiella klient för skrivbordssystem, har avslöjats. Problemet uppstår vid bristande hantering av oescaperade avgränsartecken i IPC-kommandon, vilket möjliggör för en angripare att överföra filer från offrets system, inklusive filer med sessionsnycklar, genom att klicka på en skickad länk. Sårbarheten har åtgärdats i release 7.2.9 av Telegram Desktop.

Vid klick på "tg://"-länkar startar operativsystemet det relaterade programmet Telegram Desktop för denna länktyp. Om ett annat instans av programmet redan körs, överförs länken via en socket med IPC-gränssnittet. Problemet är att om avgränsartecknet ";" anges bland länkparametrarna (t.ex. "tg://x?a=1;OPEN…"), delas innehållet upp och delarna efter avgränsartecknet ";" behandlas som separata kommandon.

För att utföra attacken används kommandot OPEN tillsammans med URI-schemat "interpret:", som är avsett för att köra skript genom IPC, som användes för att automatiskt skicka nya versioner till kanaler. Skriptet anger en fördefinierad lokal fil som innehåller filen som ska skickas till kanalen och kanalens identifierare. Filbanan till skripten behandlas relativt en tjänstemapp, men på grund av avsaknaden av rensning från "..\/" i filbanorna har angriparen möjlighet att komma åt filer som är lagrade utanför den grundläggande katalogen. Till exempel kan man ladda upp en fil till sin telegramgrupp och sedan referera till den filen som ett skript genom att förbereda en länk av typen:

tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt

Steg för att genomföra attacken:

• Angriparen lägger till offret i sin grupp (med standardinställningar kräver inte tillägg bekräftelse från den tillagda) och skickar en textfil till denna grupp som anger kanalen och sökvägen till skriptet. Telegram kommer att spara denna fil i en fördefinierad systemunderkatalog när offret går med i gruppen.

  kanal: 2005234537
  fil: tdata/D877F783D5D3EF8Cs

• Angriparen skickar en oskyldig utseende länk till sin värd (t.ex. "https://coolsite.org") som vid öppning genom omdirigering till servern angriparen ersätts med en URI av typen ‘tg://x?a=1;OPEN:interpret:…;OPEN:interpret:….
• När du klickar på länken anropar webbläsaren URI-handlern "tg://", vilket startar den ovan nämnda kedjan av kommandon som leder till att filer skickas till angriparens kanal utan några aviseringar och utan att be om bekräftelse för att skicka.
• Efter att ha fått filer från underkatalogen tdata med krypterings- och autentiseringstangentens hjälp, kan angriparen, om användaren inte har ställt in något lokalt lösenord, klona offrets anslutningssession på sin enhet.

Källa: opennet.ru