Telegram-клиент для macOS версии 7.3 хранит локальные пароли в формате plain-text на внутреннем хранилище компьютера.11 февраля 2021 года ИБ-исследователь Дхирадж Мишра (Dhiraj Mishra) рассказал в своем блоге, что он обнаружил две уязвимости в Telegram-клиенте версии 7.3 для macOS. Одна из них относилась к секретным чатам, вторая была в системе хранения локального пароля. В новой версии мессенджера 7.4 для macOS эти проблемы исправлены. Эксперт получил за нахождение этих уязвимостей награду от Telegram в размере 3 тыс. евро.
Первая уязвимость под номером CVE-2021-27205, которую обнаружил Мишра, связана с тем, что контент из самоуничтожающихся сообщений в секретных чатах хранится локально на ПК после исчезновения из текущей переписки, и его можно просмотреть.
Мишра пояснил, что при записи и отправке пользователем видеосообщения через обычный чат, клиентское приложение передает точный путь, по которому оно сохранено на ПК. В секретном чате данные о пути не передаются, но записанный контент можно найти по такому же пути. Вдобавок, после отработки механизма самоуничтожения контента в секретном чате, локально файл не удаляется и его можно просматривать.
Пример нахождения на локальном хранилище самоуничтожившегося видеосообщения из секретного чата.
Вторая уязвимость под номером CVE-2021-27204 в Telegram-клиенте версии 7.3 для macOS связана с тем, что приложение хранит локальные пароли в виде обычного текста. Файл в формате JSON с открытыми паролями можно было найти, например, по этому пути "//Users/<user_name>/Library/ Group Containers/<*>. Ru.keepcoder.Telegram/accounts-metadata./"
Пример отображения локального пароля в виде обычного текста.
dartraiden
Надо понимать, что вы не можете гарантировать удаление контента у собеседника. У собеседника может быть какой-то самописный клиент, который игнорирует команды удаления (например, если я прикручу Telegram к мессенджеру Miranda, где удаление сообщений из истории по сигналу с сервера в принципе не реализовано, даже при получении отредактированного сообщения оно пишется в историю как новое, с оставлением старого). Такие клиенты формально запрещены условиями использования сервисов Telegram, но если у меня самописный клиент, о котором никто не знает, то никто ничего сделать не сможет.
Так что, все эти удаляющиеся сообщения базируются лишь на доброй воле стороны, у которой они удаляются.
Pyhesty
ну вы можете скринить сообщения прямо с официального клиента или фотографировать, или даже записывать на видеокамеру. Удаление в первую очередь важно для получателя, что бы гарантированно избавиться от компромата, а вот остающиеся видео и медиа — это косяк...
Savvelii
Да достаточно много уязвимостей в ТГ, на самом деле. Причем большинство ям можно нарыть, не прибегая к каким-то глубоким манипуляциям