Telegram 贴纸零点击这事，网上传的"9.8 分、收到就中招"有一半说过头了，但另一半更值得担心：漏洞代码还在客户端里，挡在前面的只有服务器过滤。 事… · @0xwolverines · TwKit

@0xwolverines

Telegram 贴纸零点击这事，网上传的"9.8 分、收到就中招"有一半说过头了，但另一半更值得担心：漏洞代码还在客户端里，挡在前面的只有服务器过滤。 事实部分（来源：OffensiveCon Tokyo 议程与演讲摘要、ZDI-26-757 公告，10/28 核对）： 1. 研究员 Saifeldeen Aziz 10/28 在 OffensiveCon Tokyo 讲了一年的 Telegram 研究。摘要说：用大模型编排的模糊测试跑 rlottie（Telegram 渲染动态贴纸的库），找到多个内存破坏漏洞，iOS、安卓、桌面端都受影响；再串上贴纸投递和校验流程里的逻辑漏洞，绕过服务器和客户端的拦截，在 iOS 版 Telegram 上拿到代码执行。 2. 目前公开的只有摘要，没有完整技术细节、没有新 CVE 编号、也没有确认的补丁，未独立验证。 3. 网上说的 9.8 分是另一个洞：ZDI 3 月报给 Telegram 的 CVE-2026-111105（rlottie 数值截断，写到缓冲区之前）。最初 9.8，后来降到 7.0，ZDI 公告写的是需要用户交互。Telegram 3/31 回复"服务器校验已缓解"，4/14 要求提供完整利用链，ZDI 10/15 按 0day 公开。 4. 暂无在野利用的公开报告。 我的判断：这件事的重点不是 AI 找到了洞，而是"服务器挡住了"被当成了修复。AI 辅助的模糊测试让找渲染库的内存洞越来越便宜，只要过滤有一个绕过，客户端那段没修的代码就重新暴露。这是我基于摘要的推断，具体能不能稳定利用要等完整披露。 我自己的做法： 1. 每台设备上的 Telegram 都更新到最新版，桌面端最容易被忘。 2. 隐私设置里把"谁能拉我进群"改成联系人，陌生人消息尽量收紧，关掉自动下载媒体。零点击只需要对方能联系到你。 3. 做 Telegram 机器人或在服务器上转换、生成 .tgs 缩略图的，查一下是不是也用了 rlottie，放进沙箱里跑，别和密钥放在同一个进程。 你们会因为这种"只靠服务器过滤"的修法换掉日常用的聊天工具吗？ #AI安全 #漏洞 #Telegram

曝光 7 · 评论 0 · 点赞 0 · 书签 0