Обычный анимированный стикер может стать точкой входа для атаки, даже если получатель его не открывает. Исследователь Сайфелдин Азиз на конференции OffensiveCon Tokyo рассказал о цепочке ошибок Telegram, которая позволяла выполнить код на iPhone без действий пользователя. Но есть важное обновление: 29 октября Telegram Info сообщила, что автор подтвердил устранение продемонстрированной цепочки после перехода официальных клиентов на новую библиотеку tlottie. Эта история уже скорее о том, почему одних серверных проверок недостаточно, чем о неустраненной угрозе для обновленного приложения.
Как стикер превращался в код
Анимированные стикеры Telegram представляют собой описания графики и движения, которые приложение обрабатывает прямо на устройстве. В своем описании выступления на OffensiveCon Азиз сообщил, что исследователи применяли автоматизированное фаззинг-тестирование библиотеки rlottie и нашли ошибки работы с памятью. Они затрагивали обработку анимаций в клиентах для iOS, Android и настольных систем. Отдельную цепочку обходов команда собрала для iOS: специальный стикер доставлялся и обрабатывался без необходимости нажимать на него.
Подобный механизм особенно чувствителен для мессенджеров. Пользователь может не подозревать о получении опасного содержимого: предварительная загрузка и построение элементов интерфейса происходят автоматически. В докладе описана исследовательская демонстрация, а не подтвержденная волна атак на обычных пользователей.
Почему серверная проверка не спасала
Telegram ранее ссылался на проверку стикеров своими серверами как на защиту от опасных файлов. Исследователь описал ошибки логики доставки и проверки, которые позволяли обойти часть защитных фильтров. В результате проблема в библиотеке обработки изображений становилась достижимой для атакующего содержимого. Подробный технический отчет с условиями воспроизведения пока не опубликован, поэтому нельзя утверждать, что все описанные способы обхода одинаково работали на каждой платформе.
Что изменилось после перехода на tlottie
Telegram постепенно заменял старый движок rlottie новой реализацией tlottie, написанной на Rust. 29 октября Telegram Info обновила сообщение об исследовании: по данным редакции, Азиз подтвердил, что миграция устранила показанную цепочку. Для пользователей актуальных официальных приложений объявленная исследователем атака больше не считается действующей в прежнем виде. Это уточнение важнее броского заголовка о «взломе через один стикер».
Переход на другой движок уменьшает риск конкретных ошибок управления памятью, но не доказывает полного отсутствия дефектов в логике доставки и фильтрации. Подтвержденных сведений о массовых взломах с помощью раскрытой цепочки нет.
Чем это отличается от сентябрьской ошибки
В сентябре AnonHaven уже писал о стикере размером 269 байт, вызывавшем сбой клиента при обработке аномальной геометрии. То был сценарий отказа в обслуживании. Новое выступление касается последовательности ошибок и демонстрации выполнения кода на iOS. Смешивать оба эпизода в одну неисправленную уязвимость нельзя. Для пользователя практическая мера остается простой: обновить Telegram из официального магазина и не ориентироваться на старые сообщения без даты исправления.
Читайте также: Стикер в 269 байт вызывал сбой Telegram
Вопросы и ответы (FAQ)
Достаточно ли отправить стикер, чтобы взломать любой iPhone?
Нет. Демонстрация относилась к исследованной цепочке в Telegram для iOS и старому движку обработки анимаций.
Нужно ли нажимать на стикер?
В продемонстрированном сценарии взаимодействие пользователя не требовалось.
Исправлена ли показанная цепочка?
Telegram Info 29 октября сообщила, что исследователь подтвердил исправление после перехода на tlottie.
Есть ли доказательства массовых атак?
Публично подтвержденных случаев массового применения не представлено.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
