Ο ερευνητής ασφαλείας Saifeldeen Aziz ανακοίνωσε την ανακάλυψη νέων ευπαθειών μηδενικού κλικ (0-click) στη διαχείριση αυτοκόλλητων του Telegram.
Σύμφωνα με την παρουσίασή του στο συνέδριο OffensiveCon στο Τόκιο, ο ερευνητής κατάφερε να συνδέσει αυτές τις αδυναμίες, παρακάμπτοντας τους ελέγχους των διακομιστών της εφαρμογής και επιτυγχάνοντας την εκτέλεση κακόβουλου κώδικα σε συσκευές με λειτουργικό σύστημα iOS.
Η αμφισβήτηση των μηχανισμών προστασίας του Telegram
Η εξέλιξη αυτή αμφισβητεί ανοιχτά την επίσημη θέση που διατύπωσε το Telegram τον Μάρτιο. Όταν η Zero Day Initiative (ZDI) της Trend Micro ανέφερε μια ευπάθεια στη βιβλιοθήκη rlottie, το Telegram υποστήριξε ότι ο κίνδυνος εξουδετερώνεται από τους διακομιστές του, οι οποίοι ελέγχουν κάθε αυτοκόλλητο πριν προβληθεί στην εφαρμογή.
Ωστόσο, η ZDI εξέδωσε αργότερα την οδηγία ZDI-26-757 για το σφάλμα CVE-2026-111105, προειδοποιώντας ότι η αδυναμία στη βιβλιοθήκη rlottie παραμένει ενεργή στην πλευρά του χρήστη.
Η μέθοδος παραβίασης και τα ερωτήματα ασφαλείας
Για τον εντοπισμό των σφαλμάτων, ο Aziz χρησιμοποίησε τεχνικές fuzzing με τη βοήθεια μοντέλων τεχνητής νοημοσύνης, ανακαλύπτοντας πολλαπλά προβλήματα διαχείρισης μνήμης σε iOS, Android και Desktop.
Συνδυάζοντας αυτά τα ευρήματα με λογικά σφάλματα στον τρόπο που το Telegram μεταδίδει και ελέγχει τα κινούμενα αυτοκόλλητα μορφής TGS, κατάφερε να καταστήσει προσβάσιμο τον προστατευμένο κώδικα.
Η υπόθεση αναδεικνύει ένα σοβαρό δίλημμα αρχιτεκτονικής ασφαλείας: κατά πόσο η αποκλειστική εξάρτηση από τους ελέγχους του διακομιστή αποτελεί επαρκή λύση ή επικίνδυνο σχεδιαστικό ρίσκο.
Έως ότου διορθωθεί ο κώδικας στην πλευρά των εφαρμογών, οι χρήστες συμβουλεύονται να διατηρούν την εφαρμογή ενημερωμένη, να περιορίσουν τη λήψη μηνυμάτων από αγνώστους και να αποφεύγουν το άνοιγμα ύποπτων αρχείων.