03.02.2023

BDU:2023-03086 (CVE-2023-26818) — уязвимость программы мгновенного обмена сообщениями Telegram Messenger для операционной системы macOS

По данным БДУ ФСТЭК России, по состоянию на 07.06.2023.

Средний — 5.5/10 Публичный эксплойт Нет исправления

Уязвимость программы мгновенного обмена сообщениями Telegram Messenger связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к файлам с ограниченным доступом, микрофону

Кого касается и что делать

Уязвимое ПО: Telegram Messenger (Telegram Messenger LLP) — версии 9.3.1, 9.4.0
Что делать: применить компенсирующие меры (см. раздел мер ниже)
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2023-03086 · CVE-2023-26818
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 5.5; CVSS 2.0 — 4.9)
Вектор CVSS 3.1	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость программы мгновенного обмена сообщениями Telegram Messenger для операционной системы macOS, связанная с недостатками разграничения доступа, позволяющая нарушителю получить доступ к файлам с ограниченным доступом, микрофону, записи экрана
Даты	Опубликована: 07.06.2023 · Обновлена ФСТЭК: 07.06.2023 · Выявлена: 03.02.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Информация об устранении отсутствует (готового исправления на момент публикации нет)
Тип ошибки	CWE-863 — неправильная авторизация
Класс уязвимости	Уязвимость кода · Способ эксплуатации: нарушение авторизации