gameworkerkim/telegram-0-click-rce-security-vulnerability-analysis-reportमैंने Telegram स्टिकर भेद्यता पर एक रिपोर्ट प्रस्तुत की है, SECURITY VULNERABILITY ANALYSIS REPORT Telegram 0-Click RCE vulnerability ZDI-CAN-30207 | CVSS 9.8 CRITICAL।
ZDI-CAN-30207 | CVSS 9.8 CRITICAL | अनपैच्ड (2026-03-30 तक)
लेखक: Dennis Kim (@gameworkerkim)
लेखन तिथि: 30 मार्च 2026
संपर्क: [email protected]
यह Telegram Android/Linux प्लेटफ़ॉर्म में ज़ीरो-क्लिक (0-Click) रिमोट कोड एक्ज़ीक्यूशन (RCE) 취약점 है, जिसके लिए इटली की राष्ट्रीय साइबर सुरक्षा एजेंसी (ACN) के CSIRT Italy ने मार्च 2026 के अंत में आधिकारिक चेतावनी जारी की थी। इसे Trend Micro Zero Day Initiative (ZDI) के शोधकर्ता Michael DePlante (@izobashi) ने खोजा है, और इसे आंतरिक पहचानकर्ता ZDI-CAN-30207 दिया गया है।
इस 취약점 के माध्यम से, केवल एक तैयार किया गया एनिमेटेड स्टिकर (Animated Sticker) या मीडिया फ़ाइल पीड़ित को भेजकर हमलावर पीड़ित के डिवाइस पर मनमाना कोड निष्पादित कर सकता है। उपयोगकर्ता की किसी भी कार्रवाई (क्लिक, डाउनलोड स्वीकार करना आदि) की आवश्यकता नहीं होती, जो मैसेंजर सुरक्षा क्षेत्र में सबसे खतरनाक 취약점 प्रकारों में से एक है।
| मद | विवरण |
|---|---|
| 취약점 पहचानकर्ता | ZDI-CAN-30207 (CVE आवंटित नहीं) |
| CVSS v3.1 स्कोर | 9.8 / 10 (Critical) |
| CVSS वेक्टर | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 취약점 प्रकार | Zero-Click Remote Code Execution (RCE) |
| खोजकर्ता | Michael DePlante (@izobashi) / Trend Micro ZDI |
| प्रभावित प्लेटफ़ॉर्म | Telegram Android, Telegram Linux |
| Telegram सूचना तिथि | 26 मार्च 2026 |
| सार्वजनिक होने की निर्धारित तिथि | 24 जुलाई 2026 (ZDI मानक 90-120 दिन नीति) |
| पैच स्थिति | ⚠️ अनपैच्ड (No official patch as of 2026-03-30) |
| PoC सार्वजनिक | अप्रकाशित (निजी Exploit के अस्तित्व की संभावना) |
| वास्तविक दुरुपयोग | अपुष्ट (No confirmed in-the-wild exploitation) |
| CSIRT चेतावनी | CSIRT Italy (ACN) द्वारा आधिकारिक चेतावनी जारी |
हमले का मूल Telegram द्वारा प्राप्त मीडिया फ़ाइलों (विशेष रूप से एनिमेटेड स्टिकर) के लिए प्रीव्यू (Preview) स्वचालित रूप से उत्पन्न करने की प्रक्रिया में निहित है। इस पार्सिंग चरण में तैयार की गई फ़ाइल 취약한 कोड पथ को ट्रिगर करती है, जिससे RCE होता है।
공격 흐름:
1. 공격자 → 피해자에게 조작된 애니메이션 스티커/미디어 파일 전송
2. Telegram 앱이 메시지 수신 즉시 자동으로 미리보기 생성을 위한 파싱 시작
3. 파싱 과정에서 조작된 데이터가 취약점을 트리거 → 메모리 오염 또는 타입 혼동 발생
4. 공격자의 코드가 Telegram 프로세스 권한으로 실행됨
| मेट्रिक | मान | अर्थ |
|---|---|---|
| Attack Vector (AV) | Network | इंटरनेट के माध्यम से दूरस्थ रूप से हमला संभव |
| Attack Complexity (AC) | Low | विशेष शर्तों या जटिल बायपास तकनीकों की आवश्यकता नहीं |
| Privileges Required (PR) | None | हमलावर खाते या विशेष विशेषाधिकारों की आवश्यकता नहीं |
| User Interaction (UI) | None | पीड़ित की किसी भी कार्रवाई की आवश्यकता नहीं (Zero-Click) |
| Scope (S) | Unchanged | कमजोर कंपोनेंट के भीतर प्रभाव |
| Confidentiality (C) | High | संदेश, सत्र, मीडिया आदि की संपूर्ण गोपनीयता का उल्लंघन |
| Integrity (I) | High | सिस्टम फ़ाइलों और डेटा में छेड़छाड़ संभव |
| Availability (A) | High | सेवा में व्यवधान और डिवाइस की उपलब्धता का उल्लंघन |
Telegram की rlottie लाइब्रेरी (एनिमेटेड स्टिकर रेंडरिंग इंजन) में 2021 में Shielder शोध टीम द्वारा Android/iOS/macOS संस्करणों में समान कमजोरियाँ (Heap Buffer Overflow, Stack Overflow, Type Confusion) बड़ी संख्या में पाई गई थीं। उस समय की कमजोरियों के लिए न्यूनतम उपयोगकर्ता इंटरैक्शन आवश्यक था, लेकिन ZDI-CAN-30207 पूर्ण ज़ीरो-क्लिक प्राप्त करने के कारण और भी गंभीर है।
Telegram rlottie GitHub
⚠️ अधिकांश कमिट 7 वर्ष पुराने हैं, जिससे निरंतर रखरखाव के अभाव की स्थिति है।
rlottie को C++14 में विकसित किया गया है, और आधुनिक C++ की विशेषताओं के कारण इसका अमूर्तन स्तर उच्च है और डिबगिंग आसान नहीं है। GitHub स्रोत कोड के अधिकांश कमिट 7 वर्ष पुराने होने से यह तथ्य कि निरंतर रखरखाव छूट गया है, इस कमजोरी के उत्पन्न होने से असंबंधित नहीं प्रतीत होता।
Telegram के विश्व भर में 100 करोड़ से अधिक सक्रिय उपयोगकर्ता हैं।
| वर्गीकरण | विवरण |
|---|---|
| पुष्टि किए गए प्रभावित प्लेटफ़ॉर्म | Telegram for Android, Telegram for Linux |
| संभावित प्रभाव असत्यापित | iOS, Windows, macOS संस्करण |
| कमजोर लक्ष्य | Telegram के माध्यम से अज्ञात प्रेषकों से संदेश प्राप्त करने वाले सभी उपयोगकर्ता |
CVSS 9.8 की पूर्ण ज़ीरो-क्लिक RCE कमजोरी ऐतिहासिक रूप से राज्य-प्रायोजित साइबर हमला समूहों (APT) और वाणिज्यिक स्पाईवेयर डेवलपर्स (NSO Group आदि) का प्रमुख लक्ष्य रही है।
⚠️ महत्वपूर्ण: स्वचालित डाउनलोड अक्षम करने पर भी यह कमजोरी अवरुद्ध नहीं होती।
यह कमजोरी डाउनलोड पूर्ण होने के बाद की फ़ाइल निष्पादन अवस्था में नहीं, बल्कि संदेश प्राप्त होने पर स्वचालित रूप से होने वाली पूर्वावलोकन पार्सिंग अवस्था में ट्रिगर होती है। सेटिंग्स में स्वचालित डाउनलोड अक्षम करना एक प्रभावी शमन उपाय नहीं है।
अब तक Telegram का आधिकारिक पक्ष अत्यंत असामान्य मौन बनाए हुए है। ZDI ने 26 मार्च 2026 को Telegram को कमजोरी की सूचना दी, और मानक जिम्मेदार प्रकटीकरण (Responsible Disclosure) प्रक्रिया के अनुसार 24 जुलाई 2026 को प्रकटीकरण की समय-सीमा निर्धारित की।
Telegram के प्रवक्ता ने इस कमजोरी के अस्तित्व से इनकार किया, लेकिन यह ZDI और CSIRT Italy के आधिकारिक अलर्ट के विपरीत है, और उद्योग विशेषज्ञों ने Telegram के दावे पर तीव्र संदेह व्यक्त किया है।
| मद | स्थिति |
|---|---|
| Telegram सूचना | 26 मार्च 2026 |
| Telegram आधिकारिक पैच | अघोषित |
| ZDI प्रकाशन निर्धारित | 24 जुलाई 2026 (पैच अपूर्ण रहने पर संपूर्ण तकनीकी विवरण सार्वजनिक) |
| CSIRT Italy चेतावनी | जारी (आधिकारिक विश्लेषण एवं शमन मार्गदर्शिका सहित) |
| Telegram आधिकारिक रुख | भेद्यता के अस्तित्व से इनकार (उद्योग विशेषज्ञों द्वारा खंडन जारी) |
⚠️ ध्यान दें: IoC (Indicators of Compromise) सार्वजनिक नहीं किए गए — उल्लंघन का पता लगाने की क्षमता अत्यंत सीमित है