Специалист в области ИБ из Shielder поделился своими исследованиями, которые он проводил с января по август 2020 года, с общественностью.

Суть

Все уязвимости (багхантер насчитал их 13) связаны с использованием вредоносных, анимированных наклеек (стикеров) в секретных чатах Telegram на Android, IOS, macOS устройствах. Уязвимости позволяли за секунды приводить к сбою приложение Telegram на стороне жертвы (ронять, как например когда-то символы телугу — «ломали» Whatsapp). Для успешной атаки жертве нужно было лишь открыть секретный чат и если в сообщениях была прислана анимированная, вредоносная наклейка, через непродолжительное время клиент Telegram падал, без намеков о случившемся, для обычного пользователя.

Исследователь в своей работе посетовал на два момента:

• Отсутствие фильтра. Клиент Telegram на macOS мог принимать любые секретные чаты от неизвестных пользователей (следовательно, злоумышленник мог рассылать вредоносные стикеры любому пользователю техники Apple).

• Баги срабатывали только в секретных чатах Telegram. Как фильтровались/обрабатывались наклейки на стороне сервера (не приводящие к крашингу приложений в обычных чатах) исследователю докопаться не удалось по понятным причинам.

Со слов автора, все баги (после их репортов команде Telegram) были закрыты разработчиками мессенджера с осени 2020 года.

Пришло время обновить свои клиенты Telegram, если пользователи давно этого не делали, — рекомендует специалист по ИБ.

Прочитать подробности, первоисточник.