Phân tích lỗ hổng Zero-click trong Telegram Stickers: Nguy cơ RCE trên iOS

• Phát hiện mới: Nhà nghiên cứu Saifeldeen Aziz đã tìm thấy các lỗ hổng zero-click trong cơ chế xử lý sticker của Telegram, có khả năng thực thi mã từ xa (RCE) trên iOS.
• Cơ chế khai thác: Lỗ hổng tận dụng lỗi tràn bộ nhớ trong thư viện rlottie, kết hợp với các sai sót logic trong quy trình kiểm duyệt sticker phía máy chủ.
• Tình trạng bản vá: Telegram hiện vẫn chưa phát hành bản vá triệt để cho các lỗ hổng này, đặt ra câu hỏi lớn về tính an toàn của cơ chế lọc nội dung phía máy chủ.

Trong một báo cáo kỹ thuật gần đây, nhà nghiên cứu bảo mật Saifeldeen Aziz đã công bố phát hiện về một chuỗi lỗ hổng nghiêm trọng trong ứng dụng nhắn tin Telegram. Các lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE) thông qua việc gửi các sticker độc hại mà không cần sự tương tác từ người dùng (zero-click). Nghiên cứu này đặt ra thách thức trực tiếp đối với cơ chế bảo mật của Telegram, vốn dựa chủ yếu vào việc kiểm tra nội dung tại máy chủ trước khi phân phối đến thiết bị người dùng.

Phân tích kỹ thuật về lỗ hổng CVE-2026-111105

Trọng tâm của vấn đề nằm ở thư viện rlottie, một thành phần mã nguồn mở được Telegram sử dụng để render các tệp tin hoạt họa định dạng TGS (Lottie animation). Theo thông tin từ Zero Day Initiative (ZDI) trong bản tin ZDI-26-757, lỗ hổng CVE-2026-111105 được xác định là lỗi cắt cụt số (numeric truncation) trong quá trình xử lý dữ liệu đầu vào.

Khi một tệp tin sticker được chế tạo đặc biệt với dữ liệu đầu vào không hợp lệ, nó có thể gây ra lỗi ghi dữ liệu trước khi bắt đầu vùng đệm bộ nhớ (write before the start of a memory buffer). Điều này dẫn đến tình trạng hỏng hóc bộ nhớ (memory corruption), tạo tiền đề cho việc thực thi mã tùy ý trên thiết bị mục tiêu. Dưới đây là bảng tổng hợp các lỗ hổng liên quan:

Chuỗi tấn công và kỹ thuật khai thác

Nhà nghiên cứu Aziz đã dành hơn một năm để thực hiện quá trình fuzzing thư viện rlottie với sự hỗ trợ của các mô hình ngôn ngữ lớn (LLM). Quá trình này đã phát hiện hàng loạt lỗi hỏng hóc bộ nhớ trên các nền tảng iOS, Android và Desktop. Điểm mấu chốt của cuộc tấn công nằm ở việc kết hợp (chaining) các lỗi logic trong cách Telegram phân phối và kiểm tra sticker.

• Bước 1: Fuzzing: Sử dụng các tập dữ liệu đầu vào bị lỗi (broken input) để tìm kiếm các điểm yếu trong bộ nhớ.
• Bước 2: Bypass kiểm duyệt: Vượt qua các cơ chế kiểm tra phía máy chủ (server-side checks) vốn được Telegram khẳng định là an toàn.
• Bước 3: Thực thi mã: Kết hợp các lỗi logic để đạt được quyền thực thi mã trên ứng dụng Telegram cho iOS.

⚠️ Cảnh báo quan trọng: Việc Telegram dựa hoàn toàn vào bộ lọc phía máy chủ để ngăn chặn các lỗ hổng zero-click là một rủi ro thiết kế nghiêm trọng. Nếu bộ lọc này bị vượt qua, người dùng không có bất kỳ lớp bảo vệ nào khác trên thiết bị của mình.

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Trong khi chờ đợi các bản vá chính thức từ nhà phát triển, người dùng và quản trị viên hệ thống cần thực hiện các biện pháp bảo mật chủ động để giảm thiểu bề mặt tấn công:

• Cập nhật ứng dụng: Luôn duy trì phiên bản Telegram mới nhất trên tất cả các thiết bị (iOS, Android, Desktop).
• Cấu hình quyền riêng tư: Hạn chế tối đa những người có thể gửi tin nhắn trực tiếp hoặc thêm bạn vào các nhóm lạ trong phần cài đặt Privacy and Security.
• Thận trọng với tệp tin: Tuyệt đối không mở hoặc tương tác với các tệp tin, sticker từ những người dùng không xác định hoặc các nguồn không tin cậy.
• Giám sát hệ thống: Đối với các doanh nghiệp, cần triển khai các giải pháp EDR để phát hiện các hành vi bất thường từ tiến trình ứng dụng nhắn tin.

Các nhà nghiên cứu nhấn mạnh rằng, cho đến khi mã nguồn phía client được thay đổi để xử lý dữ liệu an toàn hơn, người dùng vẫn phải đối mặt với rủi ro tiềm ẩn. Để tìm hiểu thêm về các tiêu chuẩn bảo mật và cách phòng chống lỗ hổng, bạn có thể tham khảo tài liệu từ CISA về quản lý lỗ hổng phần mềm.