Numeric truncation trong rlottie của Telegram có thể dẫn đến thực thi mã từ xa

Lỗ hổng Telegram rlottie do Numeric Truncation dẫn đến Remote Code Execution. Lỗ hổng này cho phép kẻ tấn công từ xa thực thi mã tùy ý trên các cài đặt Telegram bị ảnh hưởng. Cần có tương tác của người dùng để khai thác, cụ thể là mục tiêu phải truy cập một trang độc hại hoặc mở một tệp độc hại. Lỗi cụ thể nằm trong thư viện rlottie. Vấn đề bắt nguồn từ việc thiếu kiểm tra phù hợp đối với dữ liệu do người dùng cung cấp, có thể dẫn đến thao tác ghi trước phần đầu của một buffer đã cấp phát. Kẻ tấn công có thể lợi dụng lỗi này để thực thi mã trong ngữ cảnh của tiến trình hiện tại. Được ghi nhận là ZDI-CAN-30207.

• Vendor và sản phẩm: Telegram, thư viện rlottie.
• Phiên bản 6.6.2 được đánh dấu affected.
• Default status là unknown. Bằng chứng hiện có không xác định thêm affected branch hoặc fixed release nào khác.

Lỗi nằm trong thư viện rlottie của Telegram và được phân loại là CWE-197, Numeric Truncation Error. Dữ liệu do người dùng kiểm soát đi vào quá trình xử lý của thư viện nhưng không được kiểm tra đầy đủ, có thể gây ra việc ghi trước phần đầu của vùng đệm đã cấp phát. Điều kiện khai thác được mô tả là nạn nhân phải truy cập một trang độc hại hoặc mở một tệp độc hại để nội dung được xử lý. Bản ghi mô tả kẻ tấn công từ xa, trong khi metadata tấn công chuẩn hóa đánh dấu attack vector là local, vì vậy mô hình phân phối chính xác vẫn chưa được làm rõ hoàn toàn. Chi tiết về trường dữ liệu, hàm xử lý hoặc đường dẫn parser cụ thể chưa được công bố.

Khai thác cần user interaction: người dùng phải truy cập trang độc hại hoặc mở tệp độc hại trong Telegram. Metadata được cung cấp cho biết không cần quyền đặc biệt có sẵn, attack complexity cao và scope không thay đổi; attack vector được đánh dấu là local. ZDI công bố trường hợp này dưới dạng 0-day advisory. Bản ghi cho biết chưa có public exploit và không xác nhận trạng thái known exploitation, nhưng điều đó không chứng minh rằng chưa từng có hoạt động khai thác ngoài phạm vi bằng chứng hiện có.

Lỗi có thể dẫn đến thực thi mã tùy ý trong ngữ cảnh của tiến trình Telegram hiện tại sau khi nội dung độc hại được xử lý. Hậu quả kỹ thuật có thể ảnh hưởng đến tính bí mật, tính toàn vẹn và tính sẵn sàng của dữ liệu hoặc dịch vụ mà tiến trình có quyền truy cập. Bản ghi không xác nhận việc vượt quyền, ảnh hưởng sang security scope khác hoặc quyền cao hơn quyền của tiến trình hiện tại. Mức độ thực tế phụ thuộc vào quyền của tiến trình, cấu hình endpoint và việc người dùng có thực hiện thao tác cần thiết hay không.

Khai thác thành công có thể cho phép mã của kẻ tấn công chạy trong ngữ cảnh của tiến trình Telegram hiện tại.

• Tùy thuộc vào quyền của tiến trình và môi trường endpoint, hậu quả có thể bao gồm mất tính bí mật, thay đổi dữ liệu hoặc làm gián đoạn dịch vụ.
• Điều kiện user interaction làm giảm khả năng khai thác tự động, nhưng không loại bỏ rủi ro từ các tệp hoặc trang độc hại được người dùng tin tưởng và mở.
• Bản ghi không cung cấp bằng chứng về một vụ xâm nhập, nạn nhân cụ thể hoặc chiến dịch đang hoạt động.

1. Ưu tiên áp dụng bản cập nhật chính thức của vendor khi vendor xác nhận fixed release. Bằng chứng hiện có chưa cung cấp phiên bản sửa lỗi, vì vậy không được suy ra rằng một bản phát hành cụ thể đã khắc phục lỗi.
2. Trong thời gian chưa có fixed release được xác nhận, áp dụng biện pháp giảm thiểu do ZDI nêu: hạn chế tương tác với Telegram, đặc biệt là truy cập trang không tin cậy hoặc mở tệp không tin cậy bằng cài đặt bị ảnh hưởng.
3. Vendor được ZDI ghi nhận là đã nói rằng lỗi được giảm thiểu bằng server-side validation. Không nên xem thông tin này là bằng chứng rằng mọi đường phân phối nội dung hoặc mọi endpoint client đã được sửa.
4. Ưu tiên cô lập hoặc nâng cấp các cài đặt Telegram đang ở phiên bản 6.6.2, đồng thời hạn chế việc xử lý nội dung không tin cậy trên các cài đặt chưa có bản sửa được xác nhận.

1. Kiểm kê các cài đặt Telegram và xác định những hệ thống đang chạy phiên bản 6.6.2.
2. Xác định các máy trạm có cho phép Telegram xử lý tệp hoặc nội dung từ trang không tin cậy, đặc biệt trong các quy trình mà người dùng thường mở tệp trực tiếp.
3. Kiểm tra thông tin cập nhật từ vendor để xác định fixed release; bằng chứng hiện có chưa cung cấp một phiên bản sửa lỗi cụ thể.
4. Rà soát endpoint telemetry hiện có để tìm hành vi bất thường của Telegram sau khi người dùng mở nội dung đáng ngờ. Đây chỉ là biện pháp giám sát phòng ngừa vì không có IOC hoặc log event cụ thể nào được công bố.
5. Không xem việc không tìm thấy log đáng ngờ là bằng chứng rằng hệ thống an toàn.