発信者のパブリックIPアドレスをリークする新しいTelegramバグが最近発見されました. この理由は、この動作を引き起こすことがわかっているデフォルトの構成オプションであると思われます.
CVE-2018-17780: 深刻な電報のバグが見つかりました: デフォルトでリークIPアドレスを呼び出す
新しいセキュリティレポートは、人気のあるTelegramメッセンジャーアプリに脆弱性が含まれていることを明らかにしています. 興味深い特徴は、それが悪いコードに基づいていないということです, ちなみに、デフォルト設定はモデル化されています. テレグラムのバグ自体は、音声通話機能が原因で発生します, デフォルトのオプションは、ピアツーピアネットワークを介してそれらを実行することです. この機能の分析は、通話を開始したユーザーのIPアドレスがTelegramコンソールログに記録されることを示しています. これは、この機能を持つすべてのクライアントがそれぞれのコールパートナーのIPアドレスを読み取ることができることを意味します. 興味深いことに、すべてのTelegramクライアントがコンソールログを持っているわけではありません.
ただし、デフォルトのオプションを変更して問題を修正する方法があります: ユーザーはに移動する必要があります “設定” ページ, 開く “プライベートとセキュリティ” タブ, その後、 “音声通話” セクションと変更 “ピアツーピア” オプション “一度もない”. これにより、テレグラムサーバーを介して通話が再ルーティングされ、IPアドレスとログメッセージが自動的に非表示になります。.
問題を検証するための概念実証のデモンストレーションがすでに投稿されています. テレグラムセキュリティチームへの開示に続いて、 CVE-2018-17780 アドバイザリーが割り当てられています. 脆弱性を報告した研究者は、2,000ユーロのバグ報奨金を授与されました. 関連するバグの説明は次のとおりです。:
Telegramデスクトップ (別名tdesktop) 1.3.14, と電報 3.3.0.0 Windows上のWP8.1, マイコンタクトリスト外のクライアントからP2P接続が受け入れられるという安全でないデフォルトの動作が原因で、通話中にエンドユーザーのパブリックIPアドレスとプライベートIPアドレスがリークする.
Telegramのバグは、1.3.17betaおよび 1.4.0 デスクトップアプリのリリース. P2P通話を無効にする設定が含まれるようになりました. Telegramの開発チームからの回答によると、問題はサインインプロセス中に発生したとのことです。. 問題のニュースを受け取ると、彼らは適切なアップデートをリリースし、必要なオプションが設定されているときにサービスが音声通話要求を処理する方法を修正しました.
マーティン・ベルトフ
マーティンはソフィア大学で出版の学位を取得して卒業しました. サイバーセキュリティ愛好家として、彼は侵入の最新の脅威とメカニズムについて書くことを楽しんでいます.
フォローしてください: