> ## Content Index
> Fetch the complete content index at: https://admin.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# В Сети распространился слух о новой уязвимости в Telegram
- URL: https://admin.kod.ru/telegram-vulnerability-new-fake/
- Published: 2022-05-15T18:33:17.000Z
- Updated: 2022-05-16T08:34:36.000Z
- Description: Редакция «Код Дурова» просит не поддаваться дезинформации в Сети.
- Author: Игорь Савкин
- Tags: Интернет

Издание gazeta.ru со ссылкой на руководителя департамента аналитической компании T.Hunter [сообщило](https://www.gazeta.ru/tech/news/2022/05/15/17742176.shtml?ref=admin.kod.ru), что в Telegram обнаружена новая критическая уязвимость, позволяющая злоумышленникам перехватывать управление над аккаунтами пользователей и каналами. Однако каких-либо подтверждений руководитель T.Hunter не привёл.

По его данным, несколько аккаунтов взломали с помощью рассылки ссылок с вредоносным кодом, а в самом мессенджере есть уязвимость-инжектор пакетов.

> В десктопной версии Telegram есть уязвимость, допускающая запуск стороннего кода, инъекция которого осуществляется при переходе по ссылке, – заявил он.

В качестве подтверждений он поделился ссылкой на **прошлогоднее** исследование, в котором описывалась проблема многих приложений вследствие приёма нестандартных URL.

Данная недоработка имела место в Desktop-версии мессенджера. Она была связана с обработкой приложением URL-протоколов «sftp://», «file://» и подобных. Такие ссылки действительно могут содержать что угодно, включая вредоносное ПО. Но фактически это проблема не конкретно Telegram, а вообще любого приложения, которое поддерживает такие ссылки.

*Видеодемонстрация. Как можно видеть, при клике на вредоносную ссылку система предупреждает пользователя об опасности.*  
  
Опасность данной проблемы сильно преувеличена, потому что:

- Она уже **давным-давно исправлена** на стороне сервера Telegram, сейчас ссылки вида «sftp://» не работают и остаются простым текстом.
- По умолчанию ОС Windows даже **не способна** обработать протокол «sftp://». Для открытия такой ссылки у пользователя должен быть подходящий софт, вроде WinSCP.
- Если пользователь кликнет по такой ссылке, **система предупредит** его, что он собирается получить пакеты с неизвестного сервера на котором может быть что угодно. Только после подтверждения пользователя злоумышленники могут скомпрометировать данные.

Редакция «Код Дурова» просит не поддаваться дезинформации в Сети. Недоработка, о которой сказано выше, уже давно была исправлена командой Telegram, повторное проявление подобного явления крайне маловероятно, а каких-либо подтверждений этого не приводится. Если вам нужно больше подробностей на эту тему, можете прочитать [оригинальное исследование](https://positive.security/blog/url-open-rce?ref=admin.kod.ru#telegram).