⚠️ 0-click уязвимость в Telegram: один стикер может «убить» целый чат

Я обнаружил серьёзную проблему в официальных клиентах Telegram после того, как моя собственная группа стала полностью недоступна.

Механика проста - достаточно отправить в группу или в комментарии под постом один специально подготовленный стикер. Когда клиент пытается отобразить его, приложение аварийно завершается.

Проблема воспроизводится на iOS, Android, Desktop официальных телеграм клиентах.

При этом сам чат не удаляется и не блокируется Telegram. Пригласительная ссылка продолжает работать, владелец группы остаётся владельцем - но открыть переписку невозможно - каждая попытка войти в чат снова приводит к крашу клиента (достаточно лишь промотать несколько сообщений вверх).

Это делает атаку особенно серьезной - один объект, сохранённый в истории, фактически может сделать целый чат (и информацию в нем) недоступным через официальный клиент.

Уязвимость можно классифицировать как 0-click client-side DoS - пользователю не нужно нажимать на ссылку или взаимодействовать с вредоносным объектом (достаточно открыть чат или комментарии, где он уже находится).

Это не RCE. Речь идёт именно о нарушении доступности (availability).

Пока проблема не исправлена, подобная атака потенциально позволяет «глушить» публичные группы и обсуждения под постами одним стикером.

Пригласительная ссылка на группу (для примера):
https://t.me/+u1wgBRqRZvMxNzgy