Telegram messencerində animasiyalı stikerlər vasitəsilə istifadəçinin heç bir əlavə əməliyyat aparmasına ehtiyac olmadan zərərli kodun icrasına imkan verən təhlükəsizlik boşluğu aşkarlanıb. “Zero-click” adlanan hücum üsulu istifadəçinin stikeri açmasını və ya üzərinə toxunmasını tələb etmir. Bu barədə The Hacker News nəşri kibertəhlükəsizlik mütəxəssisi Saifeldeen Azizin araşdırmasına istinadən məlumat yayıb.
Redaksiya mənbəyə istinadən xəbər verir ki, tədqiqatçı Telegram-ın animasiyalı stikerləri emal etmək üçün istifadə etdiyi “rlottie” kitabxanasında yaddaşın idarə olunması ilə bağlı bir neçə təhlükəsizlik problemi müəyyən edib.
Araşdırmaya əsasən, hücum edən şəxs xüsusi hazırlanmış animasiyalı stiker vasitəsilə tətbiqin yaddaşında xətalar yarada bilər. Bu xətalar digər təhlükəsizlik boşluqları ilə birlikdə istifadə edildikdə zərərli proqram kodunun icrasına şərait yaradır.
Hücumun əsas xüsusiyyəti ondan ibarətdir ki, istifadəçinin şübhəli faylı açması və ya hər hansı keçidə daxil olması tələb olunmur. Zərərli məlumatın tətbiq tərəfindən avtomatik emal edilməsi kifayət edə bilər.
Tədqiqatçı Telegram-ın server tərəfində tətbiq etdiyi təhlükəsizlik yoxlamalarından yan keçməyin də mümkün olduğunu bildirib.
Normal şəraitdə Telegram serverləri yüklənən stikerləri yoxlayaraq təhlükəli faylların istifadəçilərə çatdırılmasının qarşısını almalıdır. Lakin araşdırma zamanı stikerlərin yoxlanılması və çatdırılması mexanizmlərində bu müdafiəni keçməyə imkan verən məntiqi xətalar aşkarlanıb.
Saifeldeen Aziz həmin boşluqları birləşdirərək Telegram-ın iOS versiyasında istifadəçinin müdaxiləsi olmadan proqram kodunun icrasını nümayiş etdirdiyini açıqlayıb.
Bundan əvvəl, oktyabrın 15-də Zero Day Initiative təşkilatı “rlottie” kitabxanasındakı digər təhlükəsizlik problemi barədə məlumat yayıb. CVE-2026-111105 kodu ilə qeydiyyata alınan həmin boşluq 10 ballıq CVSS şkalası üzrə 7 balla qiymətləndirilib.
Lakin bu iki təhlükəsizlik ssenarisi arasında mühüm fərq var. CVE-2026-111105 boşluğundan ayrıca istifadə etmək üçün zərərli faylın və ya səhifənin açılması tələb olunur. Azizin nümayiş etdirdiyi hücum isə bir neçə boşluğun birləşdirilməsi nəticəsində istifadəçi müdaxiləsi olmadan həyata keçirilə bilir.
Telegram tərtibatçıları təhlükəsizlik risklərini azaltmaq məqsədilə animasiyaların emalında istifadə olunan köhnə “rlottie” kitabxanasını Rust proqramlaşdırma dilində hazırlanmış yeni “tlottie” kitabxanası ilə əvəz etməyə başlayıblar.
Yeni kitabxanaya keçid Android, iOS və masaüstü tətbiqlərində mərhələli şəkildə həyata keçirilib.
Oktyabrın 29-da yayılan yenilənmiş məlumata əsasən, tədqiqatçı yeni “tlottie” kitabxanasına keçidlə nümayiş etdirdiyi hücum mexanizminin aradan qaldırıldığını təsdiqləyib.
Beləliklə, Telegram-ın ən son rəsmi versiyalarından istifadə edən şəxslərin sözügedən hücumdan qorunduğu bildirilir.
Bununla belə, köhnə versiyalardan istifadə edən şəxslərə messenceri yeniləmək tövsiyə olunur.
Kibertəhlükəsizlik mütəxəssisləri vurğulayırlar ki, “zero-click” hücumları xüsusilə təhlükəlidir. Çünki belə hallarda istifadəçinin şübhəli keçidlərə daxil olmaması və ya tanımadığı şəxslərdən gələn faylları açmaması təkbaşına kifayət etmir.
Hazırda aşkar edilmiş hücum mexanizminin real istifadəçilərə qarşı genişmiqyaslı kiberhücumlarda tətbiq edildiyinə dair təsdiqlənmiş məlumat yoxdur.