בתוך ההודעה ישב כפתור שנראה ריק. בלי טקסט, בלי קישור, רק מלבן קטן שקל להתעלם ממנו. מי שקיבל את ההודעה לא היה יכול לדעת שבתוך אותו כפתור מסתתר קוד, ושהקוד מחכה לרגע מאוד מסוים: הרגע שבו תשמרו את ההתכתבות כקובץ ותפתחו אותו במחשב.

מה קרה

בטלגרם למחשב (Telegram Desktop) יש אפשרות לשמור התכתבות שלמה כקובץ אחד שנפתח בדפדפן, עם כל ההודעות, השמות והתאריכים. שני חוקרים, דניס רוסטילוב ואלכסנדר רוסטילוב מחברת המחקר ExPatch, בדקו איך הקובץ הזה נבנה וגילו שהתוכנה מנקה את הטקסט של ההודעות עצמן לפני שהיא כותבת אותו פנימה, אבל פוסחת על מקום אחד: הכיתוב שמופיע על הכפתורים שבוטים מצרפים להודעות שלהם. מי ששולח את ההודעה שולט בכיתוב הזה, וכל מה שהוא כותב שם נכנס לקובץ כמו שהוא. אם במקום מילים הוא כותב שם קוד, הדפדפן מריץ אותו ברגע שהקובץ נפתח. לסוג החולשה הזה קוראים XSS (הזרקה של קוד לתוך דף שנבנה מתוכן שמישהו אחר סיפק).

מה שהקוד יכול לעשות משם רחב יותר ממה שנשמע. לפי החוקרים הוא יכול להעתיק לשרת של התוקף את כל ההודעות שבקובץ, כולל מי כתב מה ומתי ואילו קבצים נשמרו מהשיחה, והוא יכול גם לשנות את מה שמוצג על המסך ולהחליף את הדף בטופס "אימות" מזויף.

טלגרם קיבלה את הדיווח ב-3 ביוני ותיקנה. התיקון נכנס לגרסת הבטא 6.9.4 ב-3 ביולי ולגרסה היציבה 7.0.1 ב-14 ביולי, והחולשה עצמה ישבה בקוד מאז מרץ 2024, קרוב לשנתיים וחצי. החוקרים פרסמו את הממצאים רק ב-12 בספטמבר, אחרי שהתיקון כבר הופץ. אין ראיות לכך שמישהו ניצל את זה בפועל, והחוקרים עצמם בדקו על חשבונות שלהם בלבד. (טלגרם, אגב, לא פרסמה על התיקון הודעת אבטחה ולא רשמה אותו ביומן השינויים, ועד כה גם לא הוקצה לחולשה מספר CVE.)

למה זה חשוב לכם

טלגרם פופולרית מאוד בישראל, ולא רק להתכתבות אישית: קבוצות שכונה, קבוצות עבודה, ערוצי חדשות וגם הערוץ של מערך הסייבר הלאומי יושבים שם. אנשים מייצאים שיחות כדי לשמור תיעוד לפני החלפת מחשב, או כשצריך להציג התכתבות מול מישהו. הנקודה המעשית היא שהתיקון עובד רק קדימה. קובץ ייצוא שנשמר אצלכם במחשב לפני יולי נשאר בדיוק כפי שהיה, על מה שהוטמע בו, והוא ירוץ בכל פעם שתפתחו אותו. גם בעוד שנה.

מה עושים?

עדכנו את טלגרם במחשב לגרסה 7.0.1 ומעלה. בתפריט ההגדרות יש שורת About שמציגה את מספר הגרסה, ואפשר גם להוריד מחדש מהאתר הרשמי. באפליקציה בטלפון החולשה לא נוגעת, היא רק בגרסת המחשב.

אל תפתחו בדפדפן קבצי ייצוא ישנים ששמורים אצלכם. אם אתם צריכים את התוכן, עדכנו קודם את התוכנה, ייצאו את השיחה מחדש ומחקו את הקובץ הישן.

אם בכל זאת חייבים לפתוח קובץ ישן, כבו קודם JavaScript בדפדפן שבו תפתחו אותו. בכרום ההגדרה נמצאת תחת פרטיות ואבטחה, בסעיף הגדרות אתרים.

התיקון של טלגרם סוגר את הדלת מהיום והלאה. הקבצים שכבר יושבים בתיקיית ההורדות שלכם לא קיבלו אותו.