Исследователи сообщили о цепочке уязвимостей в Telegram для iOS, позволяющей выполнить код через анимированные стикеры без участия пользователя, а также об ошибке в обработке звонков для Android. Обнаруженные проблемы затрагивали клиентов, выпущенные в период с марта 2022 года по сентябрь 2026 года.
Исследователь Сайфелдин Азиз представил результаты годового исследования, в ходе которого ему удалось объединить уязвимости библиотеки обработки анимированных стикеров с ошибками серверной проверки файлов и добиться выполнения произвольного кода в Telegram для iOS без каких-либо действий со стороны пользователя.
В основе атаки лежит библиотека rlottie, которую Telegram использует для воспроизведения анимированных стикеров формата TGS. Клиент самостоятельно разбирает их содержимое и отрисовывает кадры.
Исследователь применил фаззинг rlottie под управлением больших языковых моделей. В результате обнаружились несколько ошибок повреждения памяти, затрагивающих клиенты Telegram для iOS, Android и настольных систем.
Исследователь обнаружил отдельные логические ошибки в процедурах проверки и доставки стикеров, которые позволяли обходить серверные и клиентские ограничения.
В Telegram для Android обнаружили уязвимость, которая, по утверждению исследователей NebuSec, позволяла выполнить посторонний код на смартфоне после ответа на обычный голосовой звонок.
Проблема затрагивала версии мессенджера с 8.6.2 по 12.10.3, выпущенные в период с марта 2022 года по сентябрь 2026 года.
Разработчики устранили уязвимость в версии 12.10.4, вышедшей 23 сентября, однако публично о проблеме стало известно только 29 октября.
Расхождения в источниках
По утверждению Азиза, после получения результатов его исследования Telegram продолжил делать ставку прежде всего на ограничения доставки опасных данных, тогда как уязвимый код обработки анимации оставался в официальных клиентах.
Telegram сначала сослался на серверную проверку как на средство защиты, а через две недели запросил у ZDI полную цепочку удалённого выполнения кода. ZDI возразила, что требование предоставить полностью работающий RCE-эксплойт не соответствует обычной практике ответственного раскрытия уязвимостей.
NebuSec проверила возможность атаки во время личных звонков на Android-смартфонах с процессорами архитектуры ARM64. Подтверждений, что аналогичным способом можно атаковать Telegram для iOS, настольные приложения или участников групповых звонков, пока нет.
«Стикеры на iPhone, звонок на Android. Исследователи за два дня заявили о двух способах взломать Telegram без действий жертвы» — SecurityLab