Исследователь Saifeldin Aziz сообщил, что специально созданный анимированный стикер может удалённо выполнить вредоносный код в Telegram на устройствах iPhone.

По словам Азиза, для атаки не требуется ни кликать по стикеру, ни переходить по какой-либо ссылке, чтобы явно спровоцировать уязвимость.

Механизм эксплойта

Азиз сказал, что обошёл автоматические проверки Telegram, сформировав некорректно оформленные данные анимации, которые используют ошибки в коде парсинга анимации клиента.

Он не указал, какие версии iOS или Telegram затронуты, и не подтвердил, устранили ли поставщики эту проблему.

Влияние и доказательства

Нет публичных сообщений о краже криптовалюты, связанной с этим эксплойтом, и Азиз не предоставил подтверждённых случаев потери активов.

Независимая проверка со стороны исследователей безопасности или официальное уведомление от поставщика были бы необходимы для оценки распространённости эксплойта в реальных условиях и возможного ущерба.

Технический контекст

Анимированные стикеры обычно используют компактные форматы векторной анимации, и ошибки в парсерах клиента могут приводить к повреждению памяти или другому неконтролируемому поведению.

Такие уязвимости парсеров иногда могут быть использованы для удалённого выполнения кода, когда специально подготовленные полезные нагрузки вызывают непредвиденные пути парсинга.

Меры смягчения и рекомендации

Владельцам устройств следует обновлять Telegram и iOS до последних доступных версий и избегать открытия необычных медиа-вложений от неизвестных отправителей.

Командам по безопасности следует отслеживать официальные уведомления от Telegram и соответствующих платформенных поставщиков и оперативно применять патчи после их публикации.

На момент сообщения Telegram не выпустил публичного уведомления, и пользователям следует дождаться рекомендаций поставщиков, прежде чем делать дальнейшие выводы.