🔓 ⚡ Telegram под прицелом: 0-click атаки через стикеры
Исследователь Сайфельдин Азиз готовит доклад о нескольких уязвимостях Telegram, для срабатывания которых пользователю не нужно ничего делать — 0-click. Фаззинг библиотеки анимированных стикеров rlottie выявил ошибки повреждения памяти в клиентах для iOS, Android и Desktop.
Дальше — логические дыры в доставке и проверке стикеров, обход серверных и клиентских защит и, наконец, выполнение кода в Telegram для iOS.
Контекст добавляет веса: ранее Zero Day Initiative нашла в мессенджере критическую уязвимость с оценкой CVSS 9,8 (позже снизили до 7,0). Telegram заявлял, что серверные меры делают уязвимый код недостижимым, но авторы доклада уверены — это не так, и код до сих пор живёт в официальных клиентах.
Пока это аннотация к докладу без независимой проверки, но паттерн тревожный: защита на сервере не отменяет дыры в клиенте. Стоит следить за обновлениями мессенджера.
