INsec PRAKTIKA · MOBILUSIS SAUGUMAS / „TELEGRAM“

Telegram animacijų spraga CVE-2026-111105: ką žinoti „Android“ naudotojams

„Zero Day Initiative“ paskelbė apie CVE-2026-111105 – skaitinės reikšmės apdorojimo klaidą „rlottie“ animacijų bibliotekoje. Tyrėjai teigia, kad specialiai paruoštas failas ar puslapis galėtų išnaudoti atminties pažeidimą „Telegram“ procese. Tam, pagal ZDI aprašą, naudotojas turi failą atverti arba apsilankyti kenkėjiškame puslapyje.

· INsec techninė praktika · Telegram / Android / CVE-2026-111105
CVSS 7,0ZDI vertinimu, didelio sunkumo kodo vykdymo pažeidžiamumas.
„rlottie“Klaida siejama su animacijų duomenų apdorojimu.
Reikia veiksmoZDI nurodo failo atvėrimą arba apsilankymą kenkėjiškame puslapyje.
Versijų ribos neaiškiosViešas įrašas tiksliai neapibrėžia paveiktų „Android“ leidimų.
Ne „zero-click“ pagal paskelbtą ZDI aprašą. Jame aiškiai nurodyta, kad išnaudojimui būtinas naudotojo veiksmas. Taip pat nėra pagrindo teigti, kad spraga suteikia „Android“ root prieigą ar kad ji buvo aktyviai naudojama realiose atakose.

Kas yra CVE-2026-111105?

ZDI spalio 15 d. paskelbtame ZDI-26-757 biuletenyje aprašo netinkamą duomenų tikrinimą „rlottie“ bibliotekoje. Netiksliai apdorota skaitinė reikšmė gali lemti įrašymą prieš paskirtos atminties buferio pradžią. Jei pažeidžiamas kodas apdoroja užpuoliko paruoštus animacijos duomenis, tai gali baigtis savavališko kodo vykdymu pačios programos procese.

ZDI nurodo CVSS 7,0 ir reikalaujamą naudotojo sąveiką: taikinys turi atverti kenkėjišką failą arba apsilankyti kenkėjiškame puslapyje. Tai svarbus skirtumas nuo „zero-click“ scenarijaus, kai ataka įvyksta nieko nepaspaudus. Paskelbtas aprašas nepatvirtina nei tokio automatinio išnaudojimo, nei viso telefono perėmimo.

Pažeidžiamumo įrašas sieja problemą su „Telegram“, tačiau vieša informacija nepakankamai tiksliai išvardija paveiktas platformas ir visas versijas. CVE įraše minima 6.6.2 versija, bet tai savaime neleidžia nustatyti, kuri „Telegram Android“ laida yra pažeidžiama. Todėl nevertėtų spėlioti konkrečios saugios versijos.

Supaprastinta ZDI aprašyta rizikos grandinė; tai nėra viešas išnaudojimo kodas ar patvirtintos atakos seka.

Ką žinome apie „Android“ ir pataisą?

Pažeidžiamumo pranešimas neįvardija tikslios paveiktų „Telegram Android“ versijų ribos. Todėl dabartinis kliento numeris vienas pats neatsako, ar konkreti laida pataisyta. „Telegram“ kovo 31 d. ZDI nurodė, kad riziką mažina serverio pusėje atliekamas turinio tikrinimas. Tačiau ZDI savo biuletenyje nepateikia konkretaus kliento leidimo, kuriame CVE-2026-111105 būtų aiškiai pažymėta kaip ištaisyta.

„Telegram“ viešuose leidimų pranešimuose vėliau skelbė bendrus klaidų pataisymus ir animacijų atkūrimo pakeitimus. Be aiškaus gamintojo patvirtinimo jų negalima automatiškai laikyti šios konkrečios CVE pataisa. Naujausią oficialią programėlę vis tiek verta įdiegti, bet organizacijoms svarbu tikrinti ir gamintojo saugumo pranešimą, o ne pasikliauti vien versijos numeriu ar įprastu „bug fixes“ įrašu.

KĄ DARYTI PRAKTIŠKAI
01Atnaujinkite oficialiaiNaudokite „Google Play“ arba oficialų „Telegram“ kanalą.
02Neatidarykite netikėtų failųYpač animacijų ar nuorodų iš nepažįstamų siuntėjų.
03Tikrinkite pataisų būklęNaujinimo numeris pats savaime nepatvirtina šios CVE pataisos.
Atnaujinkite klientą ir venkite nepatikimo turinio; viešas ZDI pranešimas nepateikia konkretaus pataisyto leidimo.

Ką daryti naudotojams ir IT administratoriams?

  1. Atnaujinkite „Telegram“ iš oficialaus šaltinio. Patikrinkite „Google Play“ arba oficialius Telegram Android atsisiuntimo kanalus. Venkite APK failų, atsiųstų per pokalbį ar nepažįstamą svetainę.
  2. Neatidarykite netikėtų animacijų ir failų. Jei siuntėjas nepažįstamas arba failas netikėtas, neatverkite jo „Telegram“ viduje ir neatidarykite įtartinos nuorodos.
  3. Verslo įrenginiuose valdykite programėlių šaltinius. Naudokite patikimus diegimo kanalus, įrenginių valdymo politiką ir programėlių inventorizaciją. Patikrinkite, ar darbuotojų naudojamos „Telegram“ laidos yra oficialios.
  4. Įvertinkite serverio tikrinimo ribas. „Telegram“ teigimu, serverio pusės validacija mažino riziką, tačiau tai nepakeičia atsargaus elgesio ar gamintojo aiškios pataisos patvirtinimo.
  5. Sekite gamintojo ir tyrėjų atnaujinimus. Pažeidžiamumo versijų apimtis gali būti patikslinta. Nepriskirkite CVE pataisos leidimui, kurio pastabose ji nėra aiškiai nurodyta.
Trumpai: atnaujinkite programėlę, naudokite tik oficialius šaltinius ir neatverkite netikėtų animacijų ar failų. Viešame ZDI apraše nėra patvirtintos tikslios paveiktų „Android“ leidimų ribos, konkretaus pataisyto leidimo ar aktyvaus išnaudojimo įrodymų.

Reikia sustiprinti mobiliųjų įrenginių saugumą?

INsec gali padėti įvertinti įmonės įrenginių valdymą, programėlių diegimo taisykles, atnaujinimų stebėseną ir darbuotojų paskyrų apsaugą.

Aptarti kibernetinį saugumą

Šaltiniai

Informacija patikrinta 2026-10-29. „Telegram“ gali papildyti versijų ir pataisų informaciją; prieš diegdami ar valdydami įrenginius tikrinkite naujausius oficialius pranešimus.

Susijusios paslaugos ir straipsniai