Telegram удалось взломать через анимированные стикеры. 

Исследователь Сайфелдин Азиз заявил, что нашёл способ добиться выполнения произвольного кода в Telegram на iPhone с помощью вредоносного анимированного стикера. Ему не пришлось даже нажимать на сообщение.


Механизм был следующий:

🔹Уязвимость в обработке анимации. Telegram использовал библиотеку rlottie для воспроизведения стикеров формата TGS. С помощью ИИ исследователь обнаружил ошибки, способные приводить к повреждению памяти.

🔹Обход серверной проверки. Telegram проверяет стикеры на своих серверах, чтобы опасные файлы не попадали в приложение. Азиз нашёл логические ошибки в механизме проверки и доставки, позволившие обойти эту защиту.

🔹Цепочка уязвимостей. Объединив найденные проблемы, исследователь, по его словам, добился выполнения кода в Telegram для iOS без действий со стороны пользователя.


Однако это не означает, что актуальные версии Telegram сейчас уязвимы. Мессенджер заменил rlottie новой библиотекой tlottie. И по данным Telegram Info от 29 октября, последние версии официальных приложений защищены от описанной проблемы.