• XSS.stack #1 – первый литературный журнал от юзеров форума

Telegram RCE

Отслеживать
celty

celty

психические расстройства
Забанен
Регистрация
12.04.2023
Сообщения
1 300
Реакции
869
Гарант сделки
1
Пожалуйста, обратите внимание, что пользователь заблокирован
🆘🆘🆘 ВНИМАНИЕ 🆘🆘🆘

СРОЧНО ВЫРУБИТЕ НА ВСЕХ УСТРОЙСТВАХ ГДЕ СТОИТ TELEGRAM DESKTOP АВТОЗАГРУЗКУ МЕДИА

🆘🆘 НЕ УЧЕБНАЯ ТРЕВОГА 🆘🆘

Настройки - Продвинутые настройки - В личных чатах, группах, каналах ОТКЛЮЧИТЕ ВСЕ ГАЛОЧКИ ВО ВСЕХ ПУНКТАХ АВТОЗАГРУЗКИ МЕДИА

Нашли rce воспроизводится через видео плеер в Telegram. По этому самое безопасное решение отключить автозагрузку файлов.

Информация об самом эксплойте известна пока только в узких кругах

 
HikMbed сказал(а):
rce говоришь ,ну хорошо. Хочешь раскрою логику этой твоей х#йни ? я опишу как работает твоя х#йня.
проблема может быть куда хуже, чем собственно Telegram: там же не свой софт и медиакодеки для воспроизведения медиа, а какая-нибудь популярная либа, и это может означать RCE в ffmpeg или x264 или опять в WEBP
 
To be honest I don't think this is true, such an exploit would be too valuable to be made public (EVEN THE POC VIDEO). There are 2 possibilities if this is true,
1. We would see a sales topic on here or friendly forums,
2. The person who found the vulnerability had already notified Telegram and received the reward himself by letting them know.
But what Dead Pirate Roberts said may be true, still though, if it was we would see it on news and google search results. Which I do not.

RU (translated):
Честно говоря, я не думаю, что это правда, такой подвиг был бы слишком гнусным, чтобы быть обнародованным (ДАЖЕ ВИДЕО ПОК). Есть 2 варианта, если это правда,
1. Мы увидим тему продаж здесь (xss.pro),
2. Человек, нашедший уязвимость, уже уведомил Telegram и сам получил вознаграждение, сообщив им об этом.

Но то, что сказал Dead Pirate Roberts, может быть правдой, хотя, если бы это было так, мы бы увидели это в новостях и результатах поиска Google. А этого нет.
 
Dread Pirate Roberts сказал(а):
проблема может быть куда хуже, чем собственно Telegram: там же не свой софт и медиакодеки для воспроизведения медиа, а какая-нибудь популярная либа, и это может означать RCE в ffmpeg или x264 или опять в WEBP
Учитывая, что есть работающее доказательство концепции, они, конечно, будут знать, является ли это уязвимостью в Telegram или нет, и они рекламировали это как проблему с самим telegram
globalroot сказал(а):
To be honest I don't think this is true, such an exploit would be too valuable to be made public (EVEN THE POC VIDEO)
Fair point, I also find it dubious to say at least. It might be a scam. Since nothing is confirmed, I can only speculate.

The telegram source code in the demonstration video might be there to deceive into believing it is somehow related or to look more credible, which is either way nonsensical. Why would they facilitate the diagnostics of a valuable vulnerability? Nevertheless, all possible scenarios are concerning.
 
не думаю. никто не будет палить такой рце. с учетом того что таким макаром можно распетушить большую часть юзеров.
 
Dread Pirate Roberts сказал(а):
проблема может быть куда хуже, чем собственно Telegram: там же не свой софт и медиакодеки для воспроизведения медиа, а какая-нибудь популярная либа, и это может означать RCE в ffmpeg или x264 или опять в WEBP
На питоне можно набросать скрипт такой рце за час. Я не считаю это глобальной уязвимостью) там всё прозрачно, доступ к файлам в винде легко получить. Кеш данных никто не отменял.
 
_lain сказал(а):
🆘🆘🆘 ATTENTION 🆘🆘🆘

URGENTLY DISABLE AUTOLOADING MEDIA ON ALL DEVICES WHERE THE TELEGRAM DESKTOP IS INSTALLED

🆘🆘 NOT A TRAINING ALARM 🆘🆘

Settings - Advanced settings - In personal chats, groups, channels, DISABLE ALL CHECKS IN ALL AUTOLOAD MEDIA ITEMS

Found rce is played through the video player in Telegram. Therefore, the safest solution is to disable auto-downloading of files..

Information about the exploit itself is currently known only in narrow circles

Good Job
 
globalroot сказал(а):
To be honest I don't think this is true, such an exploit would be too valuable to be made public (EVEN THE POC VIDEO). There are 2 possibilities if this is true,
1. We would see a sales topic on here or friendly forums,
2. The person who found the vulnerability had already notified Telegram and received the reward himself by letting them know.
But what Dead Pirate Roberts said may be true, still though, if it was we would see it on news and google search results. Which I do not.

RU (translated):
Честно говоря, я не думаю, что это правда, такой подвиг был бы слишком гнусным, чтобы быть обнародованным (ДАЖЕ ВИДЕО ПОК). Есть 2 варианта, если это правда,
1. Мы увидим тему продаж здесь (xss.pro),
2. Человек, нашедший уязвимость, уже уведомил Telegram и сам получил вознаграждение, сообщив им об этом.

Но то, что сказал Dead Pirate Roberts, может быть правдой, хотя, если бы это было так, мы бы увидели это в новостях и результатах поиска Google. А этого нет.
Дубайские бракоделы не платят реварды за 0day или платят слишком мало и не своевременно.

Они годами зероклики не закрывают)

Это работать надо, а брат зиона им нашептывает в их клонированную тушку что нужно лежать на диванчике и шабить кальян))))
Суть заключается в том, что если не закрыть уязвимость они получат жизнь и 100 миллионов, а если закрыть им будет плохо и больно и денег не получат.
 
Tr3kzzz сказал(а):
Дубайские бракоделы не платят реварды за 0day или платят слишком мало и не своевременно.

Они годами зероклики не закрывают)

Это работать надо, а брат зиона им нашептывает в их клонированную тушку что нужно лежать на диванчике и шабить кальян))))
Суть заключается в том, что если не закрыть уязвимость они получат жизнь и 100 миллионов, а если закрыть им будет плохо и больно и денег не получат.
Yeah you are right, as you said they do not pay or pay very late. But this doesn't mean they wouldn't fix such a vulnerability if it existed.

RU (translated):
Да, вы правы, как вы сказали, они не платят или платят очень поздно. Но это не значит, что они не исправят такую уязвимость, если она существует.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
поэтому пользуемся однокассниками там такого никогда не будет!
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Сомнительный PoC, а так да, баги есть везде
https://xakep.ru/2017/01/19/emoji-ios-bug/
была же гусеница стикер который крешил айфон в телеге. и пнг для андройда.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх