PT-2021-23433 · Telegram · Telegram

Ne555 · Publicado 2021-10-04 · Atualizado 2021-10-10 · CVE-2021-41861

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Telegram 7.5.0 a 7.8.0

Descrição

O problema diz respeito à implementação incorreta do recurso de autodestruição de imagens. Após usar o recurso de autodestruição várias vezes, a interface do usuário pode indicar incorretamente que uma imagem foi excluída, quando, na verdade, a imagem permanece no dispositivo no diretório /Storage/Emulated/0/Telegram/Telegram Image/. Isso afeta tanto o remetente quanto o destinatário em conversas privadas e em grupo.

Recomendações

Para as versões 7.5.0 a 7.8.0, como solução temporária, considere verificar manualmente o diretório /Storage/Emulated/0/Telegram/Telegram Image/ em busca de imagens remanescentes após usar o recurso de autodestruição. Restrinja o acesso a esse diretório para minimizar o risco de acesso não autorizado às imagens até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Identificadores relacionados

CVE-2021-41861

Produtos afetados

Telegram

Referências · 8

• https://nvd.nist.gov/vuln/detail/CVE-2021-41861 · Nota de Segurança
• https://t.me/cvenotify/22174 · Publicação no Telegram
• https://desktop.telegram.org/changelog#v-2-6-23-02-21 · Aviso do Fabricante
• https://t.me/thebugbountyhunter/5706 · Publicação no Telegram
• https://habr.com/ru/post/580582 · Nota
• https://pikabu.ru/story/konfidentsialnost_polzovateley_telegram_snova_narushena_predstaviteli_messendzhera_trebuyut_ne_raskryivat_podrobnostey_8511495 · Nota
• https://telegram.org/blog/autodelete-inv2/ru#avtomaticheskoe-udalenie-soobschenii · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41861 · Aviso do Fabricante