CVE-2018-20436
Açıklama
Android için Telegram 4.9.1 sürümündeki "gizli sohbet" özelliği, bir sohbet mesajı gönderilmeden önce, mesaj yazılırken girilen URL'ler için Telegram sunucularının GET istekleri gönderdiği bir "yan kanal" içermektedir. Aynı web sunucusundaki diğer URL'lere de GET istekleri gönderilmektedir. Bu durum, Telegram Web-version 0.7.0 gibi bir veya daha fazla diğer Telegram ürününü de etkilemektedir. Ek olarak, bu durum bir SSRF sorunu olarak yorumlanabilir. NOT: Bir üçüncü taraf, potansiyel olarak istenmeyen bu davranışın "Secret chats > Preview links" ayarının yanlış yapılandırılmasından kaynaklandığını bildirmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| telegram telegram | 4.9.1 | — |
| telegram web | 0.7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.