В Telegram Desktop нашли уязвимость в экспорте чатов в HTML: эксперты оценили риски для пользователей

В Telegram Desktop обнаружили брешь, связанную с экспортом переписок в HTML. Уязвимость позволяла внедрять скрытый JavaScript в чаты, которые пользователи экспортировали в HTML-файлы. Об этом пишут The Hacker News.

Ранее в модифицированных версиях iOS-приложений, распространяемых через Telegram, был найден вредоносный модуль для сбора данных устройства. Установка возможна через покупку сертификата разработчика или на устройствах с джейлбрейком. Об этом писала редакция

Исследователи заметили, что текст кнопок, которые боты прикрепляют к сообщениям, при создании HTML-экспорта записывался без необходимого экранирования, поэтому бот мог поместить в текст кнопки код на языке JavaScript. Уточняется, что с помощью невидимых символов такая кнопка могла выглядеть практически пустой в самом Telegram Desktop.

Сами сообщения с кнопкой-ссылкой выглядели совершенно обычно, однако скрипт запускался только в том случае, когда кто-то открывал файл экспорта в веб-браузере. После этого скрипт мог переписать то, что отображалось на странице, или скопировать все сообщения из файла на сторонний сервер.

Так, злоумышленник мог создать сообщение от бота с вредоносным содержимым в кнопке. Когда пользователь экспортировал именно эту переписку из Telegram Desktop в HTML, вредонос попадал в созданный HTML-файл. При открытии же этого файла в браузере с включенным JavaScript код выполнялся автоматически, без необходимости нажимать на кнопку.

Исследователи подчеркнули, что вредоносный код мог получить информацию, которая находится в открытом HTML-файле с экспортированной перепиской, включая текст сообщений, имена отправителей, временные метки, а также локальный путь к HTML-файлу.

При этом бот не обязательно должен находиться в чате, на который он нацелен: сообщения, единственными кнопками которых были веб-ссылки, сохраняли эти кнопки при пересылке, неся скрипт с собой. При этом в материале не утверждается, что уязвимость была использована — речь идет только о тестировании на собственных аккаунтах исследователей.

Среди затронутых версий были выделены Telegram Desktop 4.15.1 — 6.9.3. При этом, как указано в исследовании, уязвимость существовала в стабильных версиях с марта 2024 года. На момент публикации уязвимость не имела уровня опасности CVE.

Мнение экспертов

Ведущий эксперт по сетевым угрозам компании «Код Безопасности» Константин Горбунов отметил, что для реального использования эксплуатации необходимо совпадение трех факторов: наличие уязвимой версии Telegram Desktop, попадание вредоносного сообщения в экспорт, а также открытие файла с вредоносом именно в браузере с включенным JavaScript. Собеседник редакции отметил, что при открытии экспортируемого файла в текстовом редакторе тег <script> не будет обработан.

Несмотря на это, эксперт заметил, что атака такого типа, то есть XSS-инъекция, все равно остается опасной. «Например, если пользователь все-таки открыл html-файл в браузере, и в этот файл попало вредоносное сообщение, скрипт будет запущен сразу же с открытием страницы», — заметил Горубнов. Также собеседник уточнил, что уровень опасности повышается и за счет массовости атаки, например, если такое сообщение отправлено в групповой чат с тысячами пользователей.

Эксперт по информационной безопасности «Инфосистемы Джет» Даниил Кирьяков выделил, что последствия использования такой уязвимости потенциально серьезные: «После открытия вредоносного HTML-экспорта JavaScript получает доступ к содержимому текущего документа: текстам сообщений, именам отправителей, временным меткам и другим данным, присутствующим на странице».

По мнению эксперта, особо интересна отложенная эксплуатация, поскольку вредоносное сообщение может долго находиться в истории чата и активироваться намного позже, когда сотрудник экспортирует переписку для расследования, аудита или архивирования.

Также Кирьяков выделил, что JavaScript может стать проблемой для корпоративных систем индексации и обработки HTML, однако все зависит от того, как именно система обрабатывает HTML. Так, эксперт заметил: если индексатор воспринимает файл как данные, например извлекает текст обычным HTML-парсером и не создает браузерный контекст, наличие <script> само по себе к исполнению JavaScript не приведет.

По мнению собеседника SecPost, риск намного выше в системах, где для предпросмотра документов, создания скриншотов и преобразования HTML в PDF используется Chromium, — в таком случае, как заявил эксперт, пользовательское действие вообще может исчезнуть из цепочки, а payload выполнится автоматически, когда корпоративный сервис откроет документ для обработки.