⁣🛡 Risposta rapida di Telegram a una vulnerabilità di sicurezza rilevata da HackerHood

Il 9 marzo 2024, il ricercatore di sicurezza indipendente Pedro Baptista del team HackerHood, ha rilevato un grave problema di sicurezza su Telegram. La vulnerabilità, che ha messo a rischio gli utenti della versione web della piattaforma, è stata risolta in soli tre giorni.
La vulnerabilità, identificata sotto il codice CVE-2024-33905, ha riguardato le versioni 2.0.0 (486) e precedenti di Telegram WebK, in particolare, ha messo a rischio le "Mini App" del programma, che consentono agli utenti di far funzionare applicazioni web direttamente nell'interfaccia di messaggistica. Questa funzionalità si è rivelata un target vincente per gli attacchi.

Una delle Mini App dannose potrebbe far funzionare un codice JavaScript arbitrario in quello che viene chiamato contesto principale di web.telegram.org, portando all'uscita dalla sessione degli utenti. Questo metodo di attacco è conosciuto come exploit XSS (Cross-Site Scripting), ed è stato attivato utilizzando il tipo di evento web_app_open_link tramite postMessage.
Un attaccante crea una Mini App con un URL dannoso, che sarà attivato quando l'utente apre la App. Questo URL malevolo sfrutta l'evento web_app_open_link che apre una nuova scheda con l'URL specificato, deployando il codice JavaScript dannoso nel contesto della finestra principale, compromettendo così la sessione dell'utente.

Fortunatamente, il problema è stato risolto rapidamente da Telegram. L'11 marzo 2024, Telegram ha rilasciato una patch che ha risolto la vulnerabilità. La patch ha introdotto una nuova funzione, safeWindowOpen, che si è rivelata efficace nel gestire l'apertura di nuove schede. La nuova funzione applica misure di sicurezza aggiuntive, incluse l'uso dell'argomento noreferrer che impedisce alla nuova finestra di fare riferimento all'intestazione referer alla pagina originale. La nuova finestra è stata isolata dal contesto principale, inclusa l'esecuzione di JavaScript.

La risposta rapida ed efficiente da parte di Telegram a questo problema critico sottolinea l'importanza della presenza di programmi di bug bounty ben strutturati e dell'immediata risposta alle segnalazioni. Comunque, questo episodio solleva domande sul livello di sicurezza delle applicazioni web, indicando un bisogno di continuare a sviluppare e implementare misure di sicurezza progressive per proteggere gli utenti dalle minacce sempre più complesse.