Find XO: Telegram Desktop 7.2.9 以前のバージョンでは、リンクをクリックするだけでPCのファイルが流出しうるとするセキュリティ研究が公開(beaksec.github.io)

- 発表者の主張によると、Telegram Desktop 7.2.9 以前のバージョンでは、リンクを一つクリックするだけでPCに保存されたファイルを読み取り、攻撃者のチャットに送信できるという。 - 原文は、すでに実行中のTelegramにリンクを渡す際に、コマンドを区切るセミコロン記号をフィルタリングしない欠陥と、内部機能が権限確認なしにファイルを読み取る欠陥を併せて説明している。発表者はWindowsの6.9.3ビルドで確認したと述べている。 - 発表者は、この経路を使ってログインセッションファイルを抜き出し、アカウントを乗っ取れると主張しており、危険度はCVSSの基準で8.1(High)と示された。これは発表者の概念実証に基づく主張である。 - 原文によると、7.2.9 バージョンでは該当経路が削除され、区切り文字をエスケープする修正が入った。修正コミットはdb3405699fである。原文は、この修正には公式のセキュリティ告知が伴っていなかったと明らかにしている。