Telegram Desktop - ein Klick auf einen Link genügte für Account-Übernahme

Die Lücke

Der Sicherheitsforscher beaksec hat in Telegram Desktop eine Kette aus zwei Fehlern gefunden, die aus einem geklickten Link eine beliebige Dateilese-Operation macht – inklusive Abfluss der Session-Dateien und damit Übernahme des Accounts. Betroffen sind Versionen bis 7.2.8, behoben ist das Problem in 7.2.9 (CVE-2026-107181, CVSS 8.1).

Wie es funktioniert

Klickt man einen tg://-Link, startet das Betriebssystem eine neue Telegram-Instanz. Läuft schon eine, reicht der neue Prozess den Link über einen lokalen Socket als Text an die laufende Instanz weiter und beendet sich. Bei dieser Serialisierung wird das Trennzeichen zwischen Befehlen nicht escaped – ein präparierter Link kommt also als mehrere Kommandos an.

• Fehler 1: Command Injection in der Single-Instance-IPC
• Fehler 2: Das interne URI-Schema interpret: liest eine in einer Instruktionsdatei benannte Datei und schickt sie ohne Rückfrage oder Herkunftsprüfung in einen Chat
• Ergebnis: Dateien landen in einem vom Angreifer kontrollierten Chat

Was tun?

Telegram Desktop auf 7.2.9 oder neuer aktualisieren. Das Szenario ist realistisch: Jemand fügt dich einer Gruppe hinzu, postet einen Link – ein Klick reicht.

Quelle: beaksec Blog