Уразливості в rlottie дозволили виконати код у Telegram без кліку

28 жовтня на конференції OffensiveCon у Токіо дослідник кібербезпеки Сайфелдін Азіз оприлюднив результати річного аналізу безпеки Telegram. За його даними, помилки в бібліотеці обробки анімованих стікерів у поєднанні з вадами серверної верифікації дозволили отримати віддалене виконання довільного коду на iOS без будь-яких дій із боку користувача.

Проблема криється в бібліотеці rlottie, яку месенджер використовує для відтворення анімованих стікерів формату TGS. Ці файли містять стиснений JSON із векторними даними, які клієнт самостійно розбирає та рендерить. За допомогою фаззингу під керуванням великих мовних моделей дослідник виявив низку помилок пошкодження пам'яті, що зачіпають застосунки для iOS, Android та настільних систем.

Сама наявність уразливостей у коді клієнта не гарантувала успіху атаки: Telegram фільтрує завантажувані стікери на бекенді, блокуючи підозрілі структури до їхньої доставки на пристрої. Азіз зосередився на перевірці цього захисту і виявив логічні прогалини в алгоритмах верифікації та доставки, що дозволили обійти обмеження і передати шкідливий файл уразливій бібліотеці rlottie на пристрої жертви.

Така архітектурна ставка месенджера вже викликала суперечки. У березні 2026 року дослідник Майкл Деплант з ініціативи Zero Day Initiative повідомив компанію про іншу помилку в rlottie (CVE-2026-111105). Рейтинг загрози знизили з 9,8 до 7,0 бала через наявність серверного фільтра. Коли Telegram почав вимагати від ZDI надання готового робочого експлойту як умови для виправлення коду, ініціатива відмовилася і 15 жовтня опублікувала бюлетень зі статусом 0-day.

За твердженням Азіза, клієнтський код обробки графіки так і залишився вразливим. Повний технічний звіт щодо нової zero-click-атаки наразі не опублікований, тому точний перелік уразливих версій і незалежні підтвердження роботи експлойту поки відсутні.

Джерело: habr

Доповідь: OffensiveCon, Бюлетень: Zero Day Initiative, Документація: Telegram