PT-2020-6437 · Telegram+2 · Telegram Android+4

Polict · Publicado 2020-09-21 · Atualizado 2025-01-10 · CVE-2021-31321

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Telegram para Android, versões 7.0 a 7.0 (2090)

Telegram para iOS, versões anteriores à 7.1

Telegram para macOS, versões anteriores à 7.1

Descrição

O problema está relacionado a um estouro de buffer na função gray split cubic da biblioteca personalizada Rlottie usada para a reprodução de animações Lottie. Isso poderia permitir que um invasor remoto comprometesse a integridade dos dados e causasse uma negação de serviço ao enviar um adesivo animado malicioso. A exploração dessa vulnerabilidade pode levar à sobrescrita de memória fora dos limites no dispositivo da vítima.

Recomendações

Para as versões do Telegram para Android 7.0 a 7.0 (2090), atualize para a versão 7.1.0 (2090) ou posterior.

Para as versões do Telegram para iOS anteriores à 7.1, atualize para a versão 7.1 ou posterior.

Para as versões do Telegram para macOS anteriores à 7.1, atualize para a versão 7.1 ou posterior.

Como solução temporária, considere restringir o uso de adesivos animados até que uma correção esteja disponível.

Exploit

Correção

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

BDU:2021-04689

CVE-2021-31321

USN-7198-1

Produtos afetados

Linuxmint

Telegram Android

Telegram Ios

Telegram Macos

Ubuntu

Referências · 18

• 🔥 https://shielder.it/advisories/telegram-rlottie-gray_split_cubic-stack-buffer-overflow · Exploit
• 🔥 https://shielder.it/blog/2021/02/hunting-for-bugs-in-telegrams-animated-stickers-remote-attack-surface · Exploit
• https://osv.dev/vulnerability/CVE-2021-31321 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-31318 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-31315 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-31317 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-31321 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-31321 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-31322 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-7198-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-31320 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-31321 · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-04689 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2021-31321 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-7198-1 · Aviso do Fabricante