Ein Sicherheitsforscher hat kürzlich eine Schwachstelle in Telegram für macOS entdeckt und der Öffentlichkeit gemeldet, die die Selbstzerstörungsnachrichten von Benutzern aufdecken könnte.
Von Entwurf, Geheime Telegramm-Chats basieren auf einer Ende-zu-Ende-Verschlüsselung und sollten den betroffenen Benutzern kugelsichere Sicherheit und Vertraulichkeit des Chat-Verlaufs bieten. Diese Nachrichten können nur vom Sender und Empfänger gelesen werden. Selbst die Administratoren von Telegram haben nicht die Verschlüsselungsschlüssel, um sie zu lesen.
Jedoch, Trustwave-Forscher Reegun Jayapaul identifizierte Datenschutzmängel in Telegrams Selbstzerstörungs-Chat-Nachrichten. Dank dieser Mängel, jeder kann Audio- und Videonachrichten abrufen, geteilte Standorte, und sogar Dateien, nachdem die Selbstzerstörungsfunktion auf beiden Geräten funktioniert, Reegun sagt in seinem Bericht.
Telegram auf macOS enthält eine Chat-Schwachstelle zur Selbstzerstörung
Gemäß der Forscher, der Fehler existiert in der macOS Telegram-Version 7.5.
In der Standardeinstellung, Mediendateien, außer Anhänge, an Telegram gesendete Dateien werden an einen bestimmten Ort heruntergeladen – einen Cache-Ordner. Wie kann die Schwachstelle ausgenutzt werden?
Der Forscher hat sich folgendes Szenario ausgedacht, mit zwei erfundenen Benutzern, Bob und Alice. In diesem Szenario, beide Benutzer werden am Ende entlarvt:
Szenario 1: Audio, Video, Anlagen, Shared Location undicht, selbst nach der Selbstzerstörung auf beiden Geräten
Bob sendet eine Mediennachricht an Alice (wieder, ob Sprachaufnahmen, Videonachrichten, Bilder, oder Standortfreigabe). Sobald Alice die Nachricht liest, die Nachrichten werden in der App gemäß der Selbstzerstörungsfunktion gelöscht. Jedoch, die Dateien werden weiterhin lokal im Cache-Ordner gespeichert, der für die Wiederherstellung verfügbar ist.
Es existiert auch ein zweites Szenario, das die Schwachstelle ausnutzt, in dem nur Bob ausgesetzt ist:
Szenario 2: Audio, Video, Anlagen, Geteilter Standort leckt, ohne ihn zu öffnen oder zu löschen
Bob sendet eine Mediennachricht an Alice (ob Sprachaufnahmen, Videonachrichten, Bilder, oder Standortfreigabe). Ohne die Nachricht zu öffnen, da es sich selbst zerstören kann, Alice geht stattdessen zum Cache-Ordner und schnappt sich die Mediendatei. Sie kann die Nachrichten auch aus dem Ordner löschen, ohne sie in der App zu lesen. Ungeachtet, Bob wird nicht wissen, ob Alice die Nachricht gelesen hat, und Alice behält eine dauerhafte Kopie der Medien.
Hat Telegram die Schwachstelle behoben?
Der Forscher nahm Kontakt mit Telegram auf, und das Unternehmen war bestrebt, das Problem im ersten Szenario zu beheben. Jedoch, Telegram lehnte es ab, das zweite Problem mit Caching zu beheben. Stattdessen, Das Unternehmen hat einige Problemumgehungen für den Selbstzerstörungs-Timer geteilt, die außerhalb der Kontrolle der App liegen. Weiter, Telegram sagt, dass es die Benutzer auf ihrer offiziellen FAQ-Seite davor gewarnt hat.
Jayapaul, jedoch, glaubt, dass es eine einfache Lösung gibt. „Wenn Sie Mediendateien an eine Nachricht anhängen, Auf die Anhänge kann im Cache nicht zugegriffen werden, bevor auf die Nachricht geklickt wurde. Erst nach dem Öffnen der Nachricht in der App werden die Anhänge heruntergeladen und nach Ablauf des Timers gelöscht," der Forscher sagt.
Es ist auch bemerkenswert, dass Jayapaul es ablehnte, ein Bug-Bounty für seine Entdeckung zu erhalten. Stattdessen, er entschied sich, mit der Enthüllung an die Öffentlichkeit zu gehen. „Es ist in vielerlei Hinsicht für die Öffentlichkeit wichtig. Aufgrund dieser Bedenken und meines Engagements für die Informationssicherheit, Ich habe das Bug-Bounty im Austausch für die Offenlegung abgelehnt," er erklärt.
Vorherige Telegrammfehler
Früher in diesem Jahr, Sicherheitsforscher berichtet die Fülle von Ein-Klick-Schwachstellen in mehreren beliebten Software-Apps, Telegramm enthalten, Ermöglichen, dass Bedrohungsakteure willkürliche Codeausführungsangriffe ausführen.
Erwähnenswert ist auch das, im Februar, Der Sicherheitsforscher Dhiraj Mishra entdeckte, dass Telegram eine Datenschutzlücke in seiner macOS-App.
Der Fehler lag in der Version 7.3 von Telegramm für macOS.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: