A vulnerabilidade de segurança no aplicativo do Telegram Messenger para Windows permitia a execução de código após clicar em um vídeo

O aplicativo Windows do conhecido mensageiro Telegram contém em seu código-fonte uma lista de extensões de arquivo para as quais é emitido um aviso de segurança quando um arquivo é clicado. Isso inclui, por exemplo, arquivos executáveis do Windows, para os quais o aplicativo Telegram Windows emite o seguinte aviso: "Este arquivo tem a extensão .exe. Ele pode danificar seu computador. O senhor tem certeza de que deseja executá-lo?

Essa caixa de diálogo também deveria aparecer para scripts executáveis na linguagem de programação Python com a extensão .pyzw. No entanto, um erro de digitação (".pywz" em vez de ".pyzw") fez com que nenhum aviso aparecesse para arquivos zip Python, mas o código foi executado diretamente após clicar em um link, desde que um interpretador Python estivesse disponível no sistema Windows. Se esse script Python agora estiver ofuscado com o tipo de arquivo "video/mp4", por exemplo, o executável aparecerá como um vídeo no Telegram Messenger.

A solução alternativa do lado do servidor já está disponível

Em uma declaração para Bleeping Computeros desenvolvedores do Telegram disseram: "Houve [...] um problema no Telegram Desktop em que o usuário tinha que clicar em um arquivo malicioso enquanto o interpretador Python estava instalado em seu computador. Ao contrário de relatórios anteriores, essa não era uma vulnerabilidade de "clique zero" que poderia afetar apenas uma pequena fração de nossos usuários: Menos de 0,01% dos nossos usuários têm o Python instalado e usam a versão correspondente do Telegram para Desktop".

O erro de digitação no código-fonte no GitHub já foi corrigido pela equipe do Telegram, mas um aplicativo Windows atualizado com o código corrigido ainda não está disponível. No entanto, os desenvolvedores do Telegram messenger também implementaram uma correção no lado do servidor, o que significa que os arquivos de script Python não serão mais executados diretamente no Windows, mesmo em versões mais antigas com o erro no código, mas um aviso será exibido como nos arquivos EXE.