Telegram’dagi zaiflik shaxsiy chatlarga kirish imkonini beradi.

Telegram’dagi zaiflik shaxsiy chatlarga kirish imkonini beradi.

Tadqiqotchi Telegram va Telegraph’da bir nechta jiddiy zaifliklarni aniqladi.

Habrahabr’da w9w nomi bilan tanilgan xavfsizlik bo‘yicha tadqiqotchi Telegram messenjerida bir qator jiddiy zaifliklarni aniqladi. Tadqiqotchining so‘zlariga ko‘ra, xavfsiz messenjer odatda ishonilganidek xavfsiz emas. Masalan, firibgarlar foydalanuvchilarni fishing saytlariga jalb qilish uchun t.me havolalaridan foydalanishlari mumkin, shaxsiy chatlarning maxfiyligi esa juda past darajada va Telegraph’dagi nashrlar uchinchi shaxslar tomonidan tahrirlanishi mumkin.

Tadqiqotchi ta’kidlaganidek, «t.me maxfiy kontentni indekslashni blokirovka qilishda aniq muammolarga duch kelmoqda». Telegram bot kodlari robotlarda tegishli cheklovlar yo’qligi sababli qidiruv tizimlari natijalarida paydo bo’ladi. Hujumchi bundan foydalanuvchi ma’lumotlarini olish uchun foydalanishi mumkin. Ommaviy mavjud bo’lgan elektron pochta manzillaridan tashqari, xaker shaxsiy chatlar va kanallarga ham kirishi mumkin.

Tadqiqotchi tomonidan aniqlangan ikkinchi zaiflik Open Redirect hisoblanadi. «Ushbu zaiflik t.me saytidan istalgan fishing saytiga, troyan dasturini yuklab olishga, zararli JavaScriptga (masalan, JavaScript mayneriga yoki Intel protsessorlaridagi so’nggi 0 kunlik eksploitga) va boshqalarga to’g’ridan-to’g’ri yo’naltirish imkonini beradi», deb yozadi tadqiqotchi. Ushbu zaiflikdan foydalanib, tajovuzkor faqat page_id yordamida boshqa birovning Telegraph maqolasini tahrirlashi mumkin.

Uchinchi zaiflik saytlararo so’rovlarni soxtalashtirish (CSRF) edi. Token maqolaning manba kodida joylashgan; masalan, telegra.ph/Durov-01-22 maqolasi 7f0d501375c9e2acbd1ef identifikatoriga ega.

Tadqiqotchi oʻz topilmalarini Telegram dasturchilariga xatolarni aniqlash dasturi doirasida taqdim etdi. U birinchi xato uchun 50 yevro, Open Redirect uchun 100 yevro va Telegraph’dagi CSRF xatosi uchun 1400 yevro oldi.