За 2020 год исследователь обнаружил 13 уязвимостей в Telegram
Специалист в области ИБ из Shielder поделился своими исследованиями, которые он проводил с января по август 2020 года, с общественностью.
Суть
Все уязвимости (багхантер насчитал их 13) связаны с использованием вредоносных, анимированных наклеек (стикеров) в секретных чатах Telegram на Android, IOS, macOS устройствах. Уязвимости позволяли за секунды приводить к сбою приложение Telegram на стороне жертвы (ронять, как например когда-то символы телугу — «ломали» Whatsapp). Для успешной атаки жертве нужно было лишь открыть секретный чат и если в сообщениях была прислана анимированная, вредоносная наклейка, через непродолжительное время клиент Telegram падал, без намеков о случившемся, для обычного пользователя.
Исследователь в своей работе посетовал на два момента:
Отсутствие фильтра. Клиент Telegram на macOS мог принимать любые секретные чаты от неизвестных пользователей (следовательно, злоумышленник мог рассылать вредоносные стикеры любому пользователю техники Apple).
Баги срабатывали только в секретных чатах Telegram. Как фильтровались/обрабатывались наклейки на стороне сервера (не приводящие к крашингу приложений в обычных чатах) исследователю докопаться не удалось по понятным причинам.
Со слов автора, все баги (после их репортов команде Telegram) были закрыты разработчиками мессенджера с осени 2020 года.
Пришло время обновить свои клиенты Telegram, если пользователи давно этого не делали, — рекомендует специалист по ИБ.
Прочитать подробности, первоисточник.
