Кодик кратко объясняет суть статьи
Сайфелдин Азиз обнаружил zero-click уязвимость в Telegram, связанную с отрисовкой анимированных стикеров. Исследователь выявил проблемы повреждения памяти в библиотеке rlottie и логические ошибки в механизме доставки и проверки стикеров, позволяющие обход серверной защиты и выполнение произвольного кода на устройствах с Telegram для iOS. Несмотря на смену библиотеки на tlottie, написанную на Rust, устраняющую ряд проблем безопасности, статус исправления логических ошибок неизвестен. Ранее Telegram неоднократно отрицал существование подобных уязвимостей, несмотря на публичные доказательства обратного.
Читайте в Telegram
|
Специалист по кибербезопасности Сайфелдин Азиз анонсировал доклад о zero-click уязвимостях в стикерах Telegram на конференции OffensiveCon.
Zero-click — это атака, для которой жертве не нужно ничего нажимать: достаточно получить сообщение. Исследование заняло год. Материалы доклада пока не опубликованы, поэтому неизвестно, на каких версиях приложений проверялась атака.
Сначала Азиз с помощью фаззинга под управлением ИИ (автоматической подачи программе случайных данных) нашёл несколько ошибок повреждения памяти в rlottie. Эта библиотека отвечала в Telegram за отрисовку анимированных стикеров. Защиту от таких ошибок мессенджер строил на серверной проверке, которая должна отсеивать вредоносные файлы.
Затем исследователь нашёл логические ошибки в доставке и проверке стикеров и с их помощью обошёл эту защиту. Объединив уязвимости в цепочку, он добился выполнения кода на устройстве в Telegram для iOS. По словам Азиза, даже после его отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код остаётся в официальных клиентах.
«Стоит ли считать такую модель мерой защиты, архитектурным риском или чем-то ближе к бэкдору?» — задаётся вопросом Азиз в анонсе доклада.
Тем временем Telegram сменил библиотеку. Мессенджер опубликовал tlottie — новую библиотеку для отображения стикеров, переписанную на Rust. Её уже используют Telegram Desktop, приложение для macOS и Android, а с сентября — и Telegram для iOS. Язык Rust исключает целый класс ошибок работы с памятью, на которых строились атаки через стикеры. Независимых аудитов tlottie пока нет.
Поэтому прямой угрозы для пользователей актуальных версий официальных приложений, скорее всего, нет. Однако логические ошибки в доставке и проверке стикеров от библиотеки отрисовки не зависят, и исправлены ли они, пока неизвестно.
Проблемы с rlottie известны давно. В 2020 году специалисты компании Shielder нашли в библиотеке 13 ошибок, позволявших удалённо повреждать память устройства, и Telegram закрыл их по отдельности. В 2025 году брокер уязвимостей Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а в Telegram заявляли, что он никогда не был уязвим для таких атак.
В марте 2026 года в базе Zero Day Initiative (ZDI) появилась запись об уязвимости в стикерах Telegram. Тогда пресс-служба мессенджера заявила «Код.ру», что такой эксплойт невозможен, поскольку все стикеры проверяются на серверах. В октябре ZDI опубликовала подробности уязвимости и отметила её как неисправленную.
