Исследователь заявил о взломе Telegram через анимированные стикеры без участия пользователя
Цепочка объединила ошибки библиотеки rlottie и проверки стикеров, но её работоспособность независимо не подтверждена.
Исследователь безопасности Сайфелдин Азиз сообщил о способе выполнения произвольного кода в Telegram для iOS через обработку анимированных стикеров. В описании его доклада на OffensiveCon Tokyo утверждается, что атака не требует действий со стороны пользователя.
Основой исследования стала библиотека rlottie, отвечающая за воспроизведение векторной анимации. Для поиска ошибок Азиз использовал автоматизированное тестирование под управлением больших языковых моделей. Оно выявило несколько проблем с обработкой памяти, затрагивающих Telegram для iOS, Android и настольных систем.
Однако для построения атаки оказалось недостаточно найти ошибки в самой библиотеке. Telegram проверяет стикеры на серверах, ограничивая доставку опасных файлов клиентам.
По словам исследователя, ему удалось обнаружить дополнительные логические ошибки в проверке и доставке стикеров. Объединив их с проблемами rlottie, он построил цепочку выполнения кода в iOS-клиенте. Это не означает, что аналогичная цепочка продемонстрирована для всех остальных платформ.
Отдельно Zero Day Initiative ранее раскрыла другую уязвимость этой библиотеки — CVE-2026-111105. В её описании прямо указана необходимость открыть вредоносный файл или страницу, поэтому смешивать её с заявленной атакой без участия пользователя нельзя.
Главный вопрос, который поднимает исследование Азиза, — надёжность серверной фильтрации как основной защиты от ошибок, сохраняющихся в клиентском коде. По утверждению автора, Telegram продолжает преимущественно ограничивать доступ опасных данных к уязвимому обработчику.
