Telegram Android 版本发现 0day 漏洞允许将恶意文件伪装成视频

Telegram Android 版本发现 0day 漏洞允许将恶意文件伪装成视频 安全公司 ESET 上月初在一个黑客论坛发现有人在出售一个 Android 版本的 Telegram 漏洞，允许攻击者在 Telegram 频道、群组和聊天中发送伪装成视频的恶意文件。研究人员称该漏洞为 EvilVideo，Telegram 在本月初的 v10.14.5+ 版本中修复了该漏洞。攻击者有大约五周时间利用该 0day 漏洞，但不清楚是否被利用。EvilVideo 利用了 Telegram 自动下载媒体文件的默认设置。该设置可手动禁用，但如果用户点击共享文件的下载按钮，有效负荷仍可以安装在设备上。如果用户尝试播放，Telegram 会显示无法播放的信息，建议使用外部播放器，黑客将恶意应用伪装成外部播放器。修复后的 Telegram 能正确将恶意文件识别为应用而不是视频。 via Solidot

Telegram桌面版存在高危漏洞 用户需禁用媒体(图片/视频/文件)自动下载

Telegram桌面版存在高危漏洞 用户需禁用媒体(图片/视频/文件)自动下载 目前该漏洞尚未披露并且 Telegram 也没有发布新版本进行修复，因此属于 0day 范畴，而且还是零点击的，因此使用该软件的用户需要做好防御。至于漏洞位于哪个组件、具体问题还需要等待 Telegram 修复后才会披露，估计还需要等待几周具体的漏洞细节才会公布。如何禁用自动下载功能：1. 打开 Telegram Desktop2. 转到设置、高级、自动下载媒体文件3. 分别将私聊、群组和频道中的自动下载关闭，包括图片和文件4. 全部关闭后保存即可以上安全漏洞仅在 Telegram 桌面版中存在，可以确认 Windows 版是存在的，macOS 版是否存在还不清楚，Telegram for Android/iOS 版不存在类似漏洞暂时不需要进行处理。 ... PC版： 手机版：

再度反转：Telegram Desktop 版本远程代码执行漏洞被复现

再度反转：Telegram Desktop 版本远程代码执行漏洞被复现 该漏洞危害程度很高，建议用户根据文章建议关闭自动下载功能 4月9日一条视频宣称 Telegram Desktop 客户端有漏洞，能轻松实现远程代码执行恶意攻击。当日，称无法确认 Desktop 版本远程代码执行漏洞。 4月12日 Rosmontis_Daily 发现： Telegram Desktop库下一条PR中提到一个 Bug，能通过某种方式发送 pyzw 格文件，Telegram 会将其识别为视频文件，实现伪装视频效果，且客户端默认设置条件下，会自动下载文件，用户看到后常常会下意识点击执行，攻击生效。前置条件: Telegram Desktop Windows <＝v4.16.6 + 安装Python环境。 出于安全考虑，请禁用自动下载功能。 按照以下步骤操作： 进入设置(Settings) 点击“高级(Advanced)” 在“自动下载媒体文件(Automatic Media Download)”部分，禁用所有聊天类型“私聊(Private chats)、群组(Groups)和频道(Channels)”中 “照片(Photos)”、“视频(Videos)”和“文件(Files)”的自动下载。仔细观察，不要随意点击附件。

Telegram 称无法确认 Desktop 版本远程代码执行漏洞

Telegram 称无法确认 Desktop 版本远程代码执行漏洞 Telegram 官方刚刚在社交平台 X 上发布消息表示，无法确认所谓的 Desktop 版本远程代码执行 (RCE) 漏洞。该视频很可能是一个骗局。并表示：“任何人都可以报告我们应用中的潜在漏洞并获得奖励。” 之前有消息报告称 Telegram 出现高危远程代码执行漏洞，恶意攻击者只需要向用户发送特制的图片、视频或文件即可触发漏洞。

Telegram 称无法确认 Desktop 版本远程代码执行漏洞

Telegram 称无法确认 Desktop 版本远程代码执行漏洞 Telegram 官方刚刚在社交平台 X 上发布消息表示，无法确认所谓的 Desktop 版本远程代码执行 (RCE) 漏洞。这很可能是一个骗局。并表示：“任何人都可以报告我们应用中的潜在漏洞并获得奖励。”之前有消息称 Telegram 出现高危远程代码执行漏洞，恶意攻击者只需要向用户发送特制的图片、视频或文件即可触发漏洞。

国外流行的即时通讯工具 Telegram 桌面版日前被爆出存在一个高危安全漏洞，攻击者向用户发送特制的媒体包括图片、视频或其他文

国外流行的即时通讯工具 Telegram 桌面版日前被爆出存在一个高危安全漏洞，攻击者向用户发送特制的媒体包括图片、视频或其他文件，即可在用户无需交互的情况下进行感染。 目前该漏洞尚未披露并且 Telegram 也没有发布新版本进行修复，因此属于 0day 范畴，而且还是零点击的，因此使用该软件的用户需要做好防御。 至于漏洞位于哪个组件、具体问题还需要等待 Telegram 修复后才会披露，估计还需要等待几周具体的漏洞细节才会公布。