Luka w zabezpieczeniach aplikacji Telegram Messenger dla systemu Windows umożliwiała wykonanie kodu po kliknięciu wideo

Aplikacja dla systemu Windows znanego komunikatora Telegram zawiera w swoim kodzie źródłowym listę rozszerzeń plików, dla których wyświetlane jest ostrzeżenie bezpieczeństwa po kliknięciu takiego pliku. Obejmuje to na przykład pliki wykonywalne systemu Windows, dla których aplikacja Telegram dla systemu Windows wyświetla następujące ostrzeżenie: "Ten plik ma rozszerzenie .exe. Może on uszkodzić Państwa komputer. Czy na pewno chcą Państwo go uruchomić?

Takie okno dialogowe powinno również pojawić się dla skryptów wykonywalnych w języku programowania Python z rozszerzeniem .pyzw. Jednak błąd w pisowni (".pywz" zamiast ".pyzw") oznaczał, że żadne ostrzeżenie nie pojawiało się dla archiwów zip Pythona, ale kod był wykonywany bezpośrednio po kliknięciu łącza, pod warunkiem, że interpreter Pythona był dostępny w systemie Windows. Jeśli taki skrypt Pythona jest teraz zaciemniony na przykład typem pliku "video/mp4", plik wykonywalny pojawi się jako wideo w Telegram Messenger.

Obejście po stronie serwera jest już dostępne

W oświadczeniu dla Bleeping Computerprogramiści Telegrama powiedzieli: "Wystąpił [...] problem w Telegram Desktop, w którym użytkownik musiał kliknąć złośliwy plik, gdy interpreter Pythona był zainstalowany na jego komputerze. W przeciwieństwie do wcześniejszych doniesień, nie była to luka typu "zero-click", która mogła mieć wpływ tylko na niewielką część naszych użytkowników: Mniej niż 0,01% naszych użytkowników ma zainstalowany Python i korzysta z odpowiedniej wersji Telegram for Desktop".

Literówka w kodzie źródłowym na GitHub została już naprawiona przez zespół Telegram, ale zaktualizowana aplikacja dla systemu Windows z poprawionym kodem nie jest jeszcze dostępna. Deweloperzy komunikatora Telegram wdrożyli jednak również poprawkę po stronie serwera, co oznacza, że archiwa skryptów Pythona nie będą już wykonywane bezpośrednio w systemie Windows, nawet w starszych wersjach z błędem w kodzie, ale ostrzeżenie będzie wyświetlane tak jak w przypadku plików EXE.