Rosmontis's Daily🔆

⚠️⚠️⚠️⚠️警告⚠️⚠️⚠️⚠️ Telegram Desktop版本远程代码执行漏洞已被确认 危害程度极高，建议用户根据文章建议关闭自动下载功能 ▎情况介绍 ・4月9日 一条视频宣称Telegram Desktop客户端有漏洞，能轻松实现远程代码执行恶意攻击 当日，Telegram 称无法确认 Desktop 版本远程代码执行漏洞 ・4月12日 笔者发现，Telegram Desktop Github库下一条PR中提到一个Bug，能通过某种方式发送pyzw格文件，Telegram会将其…

Telegram的RCE已修复
Telegram Desktop存储库的data_document_resolver.cpp文件源代码中对Python Zipapp的扩展名拼写错误造成了本次RCE，会让适用于Windows版本的Telegram Desktop绕过安全警告并自动执行扩展名为pyzw的Python文件，并伪装成视频文件来欺骗用户点击执行。如果用户的操作系统是Windows，并安装了Python，这会给攻击者执行远程代码一个可乘之机。
目前GitHub上的存储库已合并修复此安全漏洞的拉取请求，同时Telegram官方通过服务端对pyzw扩展名的强行添加untrusted后缀阻止Windows系统自动执行以策所有用户的安全。

来源 Bleeping Computer
via 学习墙国

BleepingComputer

Telegram fixes Windows app zero-day used to launch Python scripts

Telegram fixed a zero-day vulnerability in its Windows desktop application that could be used to bypass security warnings and automatically launch Python scripts.