Исследователь показал zero-click атаку на Telegram через анимированные стикеры

На конференции OffensiveCon Tokyo 28 октября исследователь безопасности Сайфелдин Азиз представил итоги годовой работы над Telegram. Ему удалось связать ошибки библиотеки обработки анимированных стикеров с недочётами серверной проверки файлов и добиться выполнения произвольного кода в приложении для iOS без каких-либо действий со стороны пользователя. В основе атаки лежит rlottie — библиотека, которую Telegram использует для воспроизведения стикеров формата TGS.

Такие файлы представляют собой сжатые JSON-описания векторной анимации, и клиент самостоятельно разбирает их содержимое и отрисовывает кадры. Азиз прогнал rlottie через фаззинг с привлечением больших языковых моделей и нашёл несколько ошибок повреждения памяти. Они затрагивают официальные клиенты для iOS, Android и настольных систем.

Однако наличие ошибок в библиотеке ещё не означало, что их можно использовать против реальных пользователей. Telegram проверяет загружаемые стикеры на своих серверах, чтобы опасные файлы не попадали в уязвимый код клиента. Азиз изучил этот защитный механизм и обнаружил в процедурах проверки и доставки стикеров логические ошибки, позволяющие обходить как серверные, так и клиентские ограничения.

Объединив эти обходы с уязвимостями rlottie, исследователь построил полноценную цепочку эксплуатации. В описании доклада утверждается, что она привела к выполнению кода в Telegram для iOS. При этом проблема оказалась глубже, чем отдельные баги: безопасность уязвимого клиентского кода фактически зависела от того, сможет ли сервер гарантированно отфильтровать все опасные варианты входных данных.

Отдельная история связана с более ранней уязвимостью rlottie. В марте 2026 года специалист Zero Day Initiative Майкл Деплант сообщил Telegram об ошибке, которая позже получила идентификатор CVE-2026-111105. Сначала её оценили в 9,8 балла по шкале CVSS, затем снизили до 7,0 с учётом заявленных серверных мер защиты.

Telegram сначала сослался на проверку загружаемых стикеров, а через две недели запросил у ZDI полную цепочку удалённого выполнения кода. Требование прислать работающий RCE-эксплойт ZDI сочла не соответствующей практике ответственного раскрытия. 15 октября организация опубликовала описание уязвимости как 0-day.

Речь шла об ошибке преобразования числовых значений, способной привести к записи перед началом выделенного буфера. В опубликованной оценке предполагалось, что для эксплуатации нужно взаимодействие пользователя, тогда как новая цепочка Азиза не требует этого. По словам исследователя, после получения его результатов Telegram продолжил делать ставку прежде всего на ограничения доставки опасных данных, а уязвимый код обработки анимации остался в официальных клиентах.

Азиз поставил принципиальный вопрос: можно ли считать надёжной защитой механизм, при котором возможность эксплуатации клиентских уязвимостей полностью зависит от серверной логики поставщика мессенджера. Пока опубликовано только описание доклада, полный технический разбор цепочки не представлен. Из-за этого неизвестны точные условия эксплуатации, затронутые версии клиентов и ограничения продемонстрированной атаки.

Независимого подтверждения работоспособности zero-click-цепочки в открытых материалах тоже нет. Тем не менее случай показывает, что даже дополнительные проверки на стороне сервера не снимают ответственности с самого кода обработки данных. Если в популярном мессенджере остаётся уязвимый компонент, вопрос лишь в том, как долго атакующим удастся находить способы доставить до него вредоносный файл.