Tadqiqotchi Telegramʼni foydalanuvchi ishtirokisiz animatsiyali stikerlar orqali buzish mumkinligini maʼlum qildi

Xavfsizlik tadqiqotchisi Sayfeldin Aziz animatsiyali stikerlarni qayta ishlash orqali iOS uchun Telegramʼda ixtiyoriy kodni ishga tushirish usulini aniqlaganini maʼlum qildi. Uning OffensiveCon Tokyo konferensiyasidagi maʼruzasi tavsifida hujum foydalanuvchi tomonidan hech qanday harakat talab qilmasligi aytiladi.

Tadqiqotning asosi vektorli animatsiyani namoyish etish uchun masʼul boʻlgan rlottie kutubxonasi boʻldi. Aziz xatolarni izlash uchun katta til modellari yordamida boshqariladigan avtomatlashtirilgan testlashdan foydalangan. Bu jarayonda iOS, Android va ish stoli tizimlari uchun Telegramʼga taalluqli xotirani qayta ishlashdagi bir nechta muammo aniqlandi.

Biroq hujumni yaratish uchun kutubxonaning oʻzidan xatolar topishning oʻzi yetarli boʻlmadi. Telegram xavfli fayllarning klientlarga yetkazilishini cheklash uchun stikerlarni serverlarida tekshiradi.

Reklama

Tadqiqotchining soʻzlariga koʻra, u stikerlarni tekshirish va yetkazib berish jarayonida qoʻshimcha mantiqiy xatolarni ham aniqlagan. Ularni rlottieʼdagi muammolar bilan birlashtirib, iOS klientida kod bajarilishi zanjirini yaratgan. Bu xuddi shunday zanjir qolgan barcha platformalar uchun ham namoyish etilganini anglatmaydi.

Bundan avval Zero Day Initiative ushbu kutubxonadagi boshqa zaiflik — CVE-2026-111105 haqida maʼlum qilgan edi. Uning tavsifida zararli fayl yoki sahifani ochish zarurligi toʻgʻridan-toʻgʻri koʻrsatilgan. Shu sababli uni foydalanuvchi ishtirokisiz amalga oshiriladigan hujum bilan aralashtirib yuborish mumkin emas.

Aziz tadqiqoti koʻtarayotgan asosiy masala — klient kodida saqlanib qolayotgan xatolardan asosiy himoya vositasi sifatida server filtrlashining qanchalik ishonchli ekanidir. Muallifning taʼkidlashicha, Telegram xavfli maʼlumotlarning zaif ishlov beruvchiga yetib borishini asosan cheklashda davom etmoqda.