Een beveiligingsonderzoeker ontdekte en rapporteerde onlangs een kwetsbaarheid in Telegram voor macOS die de zelfvernietigingsberichten van gebruikers zou kunnen blootleggen.
Met opzet, Geheime chats van Telegram zijn afhankelijk van end-to-end-codering en moeten zorgen voor een kogelvrije beveiliging en privacy van chatgeschiedenissen voor bezorgde gebruikers. Deze berichten kunnen alleen worden gelezen door de afzender en ontvanger. Zelfs de beheerders van Telegram hebben niet de coderingssleutels om ze te lezen.
Echter, Trustwave's onderzoeker Reegun Jayapaul identificeerde privacyfouten in de zelfvernietigende chatberichten van Telegram. Dankzij deze gebreken, iedereen kan audio- en videoberichten ophalen, gedeelde locaties, en zelfs bestanden, nadat de zelfvernietigingsfunctie op beide apparaten werkt, Reegun zegt in zijn rapport:.
Telegram op macOS bevat een zelfvernietigende chat-kwetsbaarheid
Volgens de onderzoeker, de fout bestaat in de macOS Telegram-versie 7.5.
Standaard, mediabestanden, behalve bijlagen, verzonden naar Telegram worden gedownload naar een specifieke locatie - een cachemap. Hoe kan de kwetsbaarheid worden misbruikt??
De onderzoeker kwam met het volgende scenario:, waarbij twee verzonnen gebruikers betrokken zijn, Bob en Alice. In dit scenario, beide gebruikers worden uiteindelijk blootgesteld:
Scenario 1: audio, Video, Bijlagen, Gedeelde locatie lekt zelfs na zelfvernietiging op beide apparaten
Bob stuurt een mediabericht naar Alice (opnieuw, of spraakopnamen, videoboodschappen, afbeeldingen, of locatie delen). Zodra Alice het bericht leest, de berichten worden verwijderd in de app volgens de zelfvernietigingsfunctie. Echter, de bestanden worden nog steeds lokaal opgeslagen in de cachemap die beschikbaar is voor herstel.
Er bestaat ook een tweede scenario waarin misbruik wordt gemaakt van de kwetsbaarheid, waarin alleen Bob wordt blootgesteld:
Scenario 2: audio, Video, Bijlagen, Gedeelde locatie lekt zonder openen of verwijderen
Bob stuurt een mediabericht naar Alice (of spraakopnamen, videoboodschappen, afbeeldingen, of locatie delen). Zonder het bericht te openen, omdat het zichzelf kan vernietigen, Alice gaat in plaats daarvan naar de cachemap en pakt het mediabestand. Ze kan de berichten ook uit de map verwijderen zonder ze in de app te lezen. Ongeacht, Bob zal niet weten of Alice het bericht heeft gelezen, en Alice zal een permanente kopie van de media bewaren.
Heeft Telegram de kwetsbaarheid verholpen?
De onderzoeker nam contact op met Telegram, en het bedrijf stond te popelen om het probleem in het eerste scenario op te lossen. Echter, Telegram weigerde het tweede probleem met caching op te lossen. Plaats, het bedrijf deelde enkele tijdelijke oplossingen voor de zelfvernietigingstimer die buiten de controle vallen van de app. Bovendien, Telegram zegt dat het gebruikers hiervoor heeft gewaarschuwd op hun officiële pagina met veelgestelde vragen.
Jayapaul, echter, gelooft dat er een eenvoudige oplossing is. “Als u mediabestanden aan een bericht toevoegt, de bijlagen zijn niet toegankelijk in de cache voordat op het bericht is geklikt. Pas nadat het bericht in de app is geopend, worden de bijlagen gedownload en na de timer verwijderd," De onderzoeker zegt.
Het is ook opmerkelijk dat Jayapaul weigerde een bugbounty te ontvangen voor zijn ontdekking. Plaats, hij koos ervoor om de onthulling openbaar te maken. “Het is op verschillende manieren essentieel voor het publiek. Vanwege deze zorgen en mijn inzet voor informatiebeveiliging, Ik heb de bug bounty geweigerd in ruil voor openbaarmaking," hij legt uit.
Vorige Telegram-fouten
Eerder dit jaar, security onderzoekers rapporteerden de overvloed aan kwetsbaarheden met één klik in meerdere populaire software-apps, Telegram inbegrepen, waardoor bedreigingsactoren aanvallen met willekeurige code kunnen uitvoeren.
Het is ook vermeldenswaardig dat, in februari, beveiligingsonderzoeker Dhiraj Mishra ontdekte dat Telegram een privacykwetsbaarheid in de macOS-app.
De bug zat in version 7.3 van Telegram voor macOS.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: