Một nhà nghiên cứu bảo mật vừa công bố chuỗi lỗ hổng trong Telegram Desktop, cho phép kẻ tấn công đọc trộm file trên máy nạn nhân chỉ sau một cú nhấp vào đường link trong nhóm chat. Bài viết nhận được 212 lượt upvote trên Hacker News.

Link độc hại biến thành nhiều lệnh

Khi bạn bấm link dạng tg://, hệ điều hành mở thêm một tiến trình Telegram mới. Tiến trình này phát hiện bản Telegram đang chạy và chuyển đường link sang đó qua một kênh nội bộ trên máy, dưới dạng văn bản. Các lệnh được ngăn cách bằng dấu chấm phẩy, nhưng Telegram không xử lý ký tự này khi nó nằm trong link. Vì thế một đường link được thiết kế khéo sẽ bị tách thành nhiều lệnh riêng biệt.

Từ lệnh giả đến mất tài khoản

Lệnh chèn thêm có thể gọi một giao thức nội bộ tên là interpret. Giao thức này đọc file được chỉ định rồi gửi vào cuộc trò chuyện, không kiểm tra ai yêu cầu và không hỏi xác nhận. Kẻ tấn công vì thế có thể lấy cả các file phiên đăng nhập, tức là chính thứ giữ tài khoản của bạn.

Bài học cho người dùng

Đây là ví dụ điển hình cho thấy một ký tự bị bỏ sót cũng đủ gây hậu quả lớn trong công nghệ bảo mật. Bạn nên cập nhật Telegram Desktop lên phiên bản mới nhất, thận trọng với link lạ trong nhóm, và thường xuyên kiểm tra các thiết bị đang đăng nhập trong phần cài đặt.