gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportIch habe einen Bericht über die Telegram-Sticker-Schwachstelle eingereicht, SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE vulnerability ZDI-CAN-30207 | CVSS 9.8 CRITICAL.
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | Ungepatcht (Stand 2026-03-30)
Autor: Dennis Kim (@gameworkerkim)
Erstellt am: 30. März 2026
Kontakt: [email protected]
Dies ist eine Zero-Click-Remote-Code-Execution(RCE)-Schwachstelle auf den Telegram-Plattformen Android/Linux, zu der die CSIRT Italy der italienischen Nationalen Cybersicherheitsbehörde (ACN) Ende März 2026 einen offiziellen Alarm herausgegeben hat. Sie wurde von dem Forscher Michael DePlante (@izobashi) der Trend Micro Zero Day Initiative (ZDI) entdeckt und mit dem internen Identifikator ZDI-CAN-30207 versehen.
Bei dieser Schwachstelle kann ein Angreifer beliebigen Code auf dem Gerät des Opfers ausführen, indem er lediglich einen manipulierten animierten Sticker (Animated Sticker) oder eine Mediendatei an das Opfer sendet. Es ist keinerlei Handlung des Nutzers (Klicken, Akzeptieren eines Downloads usw.) erforderlich, was sie zu einer der gefährlichsten Schwachstellenarten im Bereich der Messenger-Sicherheit macht.
| Element | Inhalt |
|---|---|
| Schwachstellen-Identifikator | ZDI-CAN-30207 (keine CVE zugewiesen) |
| CVSS-v3.1-Score | 9.8 / 10 (Critical) |
| CVSS-Vektor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Schwachstellentyp | Zero-Click Remote Code Execution (RCE) |
| Entdecker | Michael DePlante (@izobashi) / Trend Micro ZDI |
| Betroffene Plattformen | Telegram Android, Telegram Linux |
| Benachrichtigung von Telegram | 26. März 2026 |
| Voraussichtliche Veröffentlichung | 24. Juli 2026 (ZDI-Standardrichtlinie von 90–120 Tagen) |
| Patch-Status | ⚠️ Ungepatcht (No official patch as of 2026-03-30) |
| PoC-Veröffentlichung | Nicht veröffentlicht (nicht öffentlicher Exploit möglich) |
| Tatsächliche Ausnutzung | Unbestätigt (No confirmed in-the-wild exploitation) |
| CSIRT-Alarm | Offizieller Alarm der CSIRT Italy (ACN) herausgegeben |
Der Kern des Angriffs liegt in dem Prozess, in dem Telegram automatisch eine Vorschau (Preview) von empfangenen Mediendateien (insbesondere animierten Stickern) erzeugt. In dieser Parsing-Phase löst eine manipulierte Datei einen verwundbaren Codepfad aus, der zur RCE führt.
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| Metrik | Wert | Bedeutung |
|---|---|---|
| Attack Vector (AV) | Network | Angriff aus der Ferne über das Internet möglich |
| Attack Complexity (AC) | Low | Keine speziellen Bedingungen oder komplexen Umgehungstechniken erforderlich |
| Privileges Required (PR) | None | Kein Angreiferkonto oder besondere Berechtigungen erforderlich |
| User Interaction (UI) | None | Keine Handlung des Opfers erforderlich (Zero-Click) |
| Scope (S) | Unchanged | Auswirkung innerhalb der verwundbaren Komponente |
| Confidentiality (C) | High | Vollständige Beeinträchtigung der Vertraulichkeit von Nachrichten, Sitzungen, Medien usw. |
| Integrity (I) | High | Manipulation von Systemdateien und Daten möglich |
| Availability (A) | High | Dienstunterbrechung und Beeinträchtigung der Geräteverfügbarkeit |
Die rlottie-Bibliothek von Telegram (Rendering-Engine für animierte Sticker) wurde 2021 vom Forschungsteam Shielder in den Android-/iOS-/macOS-Versionen mit einer Vielzahl ähnlicher Schwachstellen (Heap Buffer Overflow, Stack Overflow, Type Confusion) konfrontiert. Die damaligen Schwachstellen erforderten eine minimale Benutzerinteraktion, doch ZDI-CAN-30207 ist insofern schwerwiegender, als es einen vollständigen Zero-Click erreicht.
Telegram rlottie GitHub
⚠️ Die meisten Commits sind 7 Jahre alt, und es fehlt an kontinuierlicher Wartung.
rlottie wurde in C++14 entwickelt, und aufgrund der Eigenschaften von modernem C++ ist die Abstraktionsebene hoch und das Debugging nicht einfach. Dass die meisten Commits im GitHub-Quellcode 7 Jahre alt sind, steht in einem nicht unerheblichen Zusammenhang mit dem Fehlen kontinuierlicher Wartung und dem Auftreten dieser Schwachstelle.
Telegram hat weltweit über 1 Milliarde aktive Nutzer.
| Kategorie | Inhalt |
|---|---|
| Bestätigte betroffene Plattformen | Telegram for Android, Telegram for Linux |
| Potenzielle Auswirkungen unbestätigt | iOS-, Windows-, macOS-Versionen |
| Betroffene Zielgruppe | Alle Nutzer, die über Telegram Nachrichten von unbekannten Absendern empfangen |
Eine vollständige Zero-Click-RCE-Schwachstelle mit CVSS 9.8 war historisch ein Hauptziel staatlich unterstützter Cyberspionagegruppen (APT) und kommerzieller Spyware-Entwickler (wie NSO Group).
⚠️ Wichtig: Auch die Deaktivierung des automatischen Downloads blockiert diese Schwachstelle nicht.
Die Schwachstelle wird nicht in der Phase der Dateiausführung nach abgeschlossenem Download ausgelöst, sondern in der Phase der automatisch beim Nachrichtenempfang erfolgenden Vorschau-Analyse. Die Deaktivierung des automatischen Downloads in den Einstellungen stellt keine wirksame Gegenmaßnahme dar.
Bislang wahrt die offizielle Seite von Telegram ein höchst ungewöhnliches Schweigen. ZDI hat Telegram am 26. März 2026 über die Schwachstelle informiert und gemäß dem Standardverfahren der Responsible Disclosure den 24. Juli 2026 als Offenlegungsfrist festgelegt.
Ein Sprecher von Telegram bestritt die Existenz dieser Schwachstelle, was jedoch den offiziellen Warnungen von ZDI und CSIRT Italy widerspricht, und Branchenexperten äußern starke Zweifel an den Behauptungen von Telegram.
| Punkt | Status |
|---|---|
| Telegram-Benachrichtigung | 26. März 2026 |
| Offizieller Telegram-Patch | Nicht veröffentlicht |
| ZDI-Veröffentlichung geplant | 24. Juli 2026 (bei unvollständigem Patch vollständige technische Details veröffentlicht) |
| CSIRT Italy-Warnung | Ausgestellt (offizielle Analyse und Minderungsleitfaden bereitgestellt) |
| Offizielle Telegram-Position | Vorhandensein der Schwachstelle bestritten (Branchenexperten widersprechen) |