Исследователь в области безопасности Майкл Деплант, связанный с Zero Day Initiative, обнаружил в Telegram уязвимость нулевого дня — ранее неизвестную ошибку в программном обеспечении. По данным ZDI, уязвимость была найдена 26 марта, после чего информация о ней была передана представителям мессенджера.
Уязвимость получила внутренний идентификатор ZDI-CAN-30207. Ее критичность оценена в 9,8 балла из 10, что соответствует наивысшей категории опасности. Опубликованный CVSS-вектор указывает на возможность удаленной эксплуатации по сети без действий со стороны пользователя и с одновременным влиянием на конфиденциальность, целостность и доступность данных.
Подробности о механизме уязвимости пока не раскрываются. Примеров эксплуатации на данный момент не опубликовано, а более полная информация должна появиться не раньше 24 июля. Также сообщается, что у Telegram есть 120 дней на исправление проблемы.
Проект 3side, который обратил внимание на данные ZDI, предполагает, что уязвимость может позволять взлом любого аккаунта Telegram. В комментарии к CVSS-оценке также высказывается предположение, что речь может идти о выполнении кода. Telegram случившееся не комментировала.