З'явилися чутки про нову вразливість Telegram: чому вони перебільшені та як усе насправді

Повідомляється, що "нова" критична вразливість дозволяє зловмисникам перехоплювати управління обліковими записами користувачів і каналами. Як пише російське видання "Газета.ru", з її допомогою уже зламали кілька людей.

Цікаво Telegram Premium: які переваги запропонує платна версія месенджера

Небезпека перебільшена

У матеріалі цитується керівник департаменту аналітичної компанії T. Hunter Ігор Бедеров. Однак він дещо запізнився. Приблизно на рік.

У десктопної версії Telegram є вразливість, що допускає запуск стороннього коду, ін'єкція якого здійснюється при переході за посиланням,
– заявив він, у якості підтверджень поділившись посиланням на торішнє дослідження, в якому описувалася проблема багатьох додатків внаслідок прийому нестандартних URL.

• Описаний баг був характерний для Desktop-версії месенджера. Він пов'язаний з обробкою додатком URL-протоколів "sftp://", "file://" і подібних.
• Такі посилання дійсно можуть містити що завгодно, включаючи шкідливе ПЗ.
• Але фактично це проблема не конкретно Telegram, а взагалі будь-якої програми, яка підтримує такі посилання.

Небезпека проблеми перебільшена з кількох причин:

• Вона вже давно виправлена на стороні сервера Telegram. Зараз посилання виду "sftp://" не працюють і залишаються простим текстом.
• За замовчуванням ОС Windows навіть не здатна обробити протокол "sftp://". Для відкриття такого посилання у користувача повинен бути відповідний софт, на зразок WinSCP.
• Якщо користувач клікне по такому посиланню, система попередить його, що він збирається отримати пакети з невідомого сервера на якому може бути що завгодно. Тільки після підтвердження користувача зловмисники можуть задіяти шкідливий код.

Таким чином сьогодні не можна говорити про вразливість на стороні саме Telegram. Месенджер більше не обробляє нестандартні посилання. А отже користувачеві доведеться самостійно його скопіювати та прийняти рішення щодо дозволу на його обробку спеціальними програмами. Варто пам'ятати про безпеку в інтернеті й не відкривати будь-які посилання чи файли від незнайомих вам людей. 

До речі, аналогічні проблеми виконання коду за один клік виявили у Nextcloud, VLC, Libre-/OpenOffice, гаманці Bitcoin/Dogecoin, Wireshark та Mumble.