Исследователь показал цепочку взлома Telegram через стикеры
На конференции OffensiveCon Tokyo 28 октября исследователь безопасности Сайфелдин Азиз представил результаты годового исследования Telegram. По его словам, объединение уязвимостей библиотеки анимированных стикеров с ошибками серверной проверки файлов позволило добиться выполнения произвольного кода в Telegram для iOS без действий пользователя.
01Что случилось
В основе атаки лежит библиотека rlottie, которую Telegram использует для воспроизведения анимированных стикеров формата TGS. Исследователь применил фаззинг rlottie под управлением больших языковых моделей и обнаружил ошибки повреждения памяти, затрагивающие клиенты для iOS, Android и настольных систем.
Telegram проверяет загружаемые стикеры на своих серверах. Азиз обнаружил логические ошибки в процедурах проверки и доставки стикеров, позволявшие обходить серверные и клиентские ограничения, и объединил их с уязвимостями rlottie в цепочку эксплуатации.
В марте 2026 года исследователь Майкл Деплант из Zero Day Initiative сообщил Telegram о другой уязвимости rlottie, получившей идентификатор CVE-2026-111105. Первоначально её оценили в 9,8 балла CVSS, затем оценку снизили до 7,0 с учётом заявленных серверных мер защиты. 15 октября ZDI опубликовала описание уязвимости со статусом 0-day; эта оценка предусматривает необходимость взаимодействия пользователя, в отличие от новой цепочки zero-click.
02Почему это важно
По утверждению Азиза, после получения результатов исследования Telegram продолжил делать ставку прежде всего на ограничения доставки опасных данных, тогда как уязвимый код обработки анимации оставался в официальных клиентах.
Источники
- Хабр Новости habr.com