Исследователь отказался от награды Telegram и раскрыл секрет «самоуничтожающихся» фотографий
В мессенджере Telegram месяцами существовал баг, благодаря которому "самоуничтожающиеся" изображения продолжали храниться даже после их исчезновения из чата. Об это рассказал интернет-сообществу "белый хакер", в свое время обнаруживший проблему.
Как и у других мессенджеров, в Telegram давно существует функция, позволяющая автоматически удалять сообщения и любые прикрепленные файлы через заданный период. В феврале 2021 года Telegram объявила о присутствии соответствующих функций в новом релизе. Автоудаление может осуществляться через 24 часа, неделю или месяц после отправки данных.
Для настройки соответствующих функций достаточно открыть чат, выбрать "Очистить историю" и настроить "Автоудаление сообщений в этом чате". Пользователь Дмитрий обнаружил, что в версии для Android сообщения из частных и групповых чатов исчезали только визуально, при этом сохраняясь в кэше.
Как сообщает портал Ars Technica, уязвимость CVE-2021-41861 присутствует в версиях приложений с 7.5.0 по 7.8.0, сообщения и изображения сохраняются в директории /Storage/Emulated/0/Telegram/Telegram Image как минимум еще на некоторое время после заявленного удаления. При этом программа сообщает пользователю, что материалы полностью удалены.
Дмитрий попытался связаться с представителями Telegram в начале марта и после серии писем и сообщений (переписка продолжалась месяцами), компания связалась с ним в сентябре, подтвердив существование бага. В качестве награды Дмитрию были предложены 1000 евро.
Хотя многие компании предлагают "белым хакерам" награды за обнаруженные уязвимости, обычно разрешается рассказать о них через 60-90 дней, период оговаривается индивидуально.
Изучение предложенного контракта, отправленного по электронной почте, показало, что представители мессенджера требуют публиковать любые данные об уязвимости только с письменного разрешения Telegram. По данным Дмитрия, такие условия его не устроили. После этого компания начала игнорировать его, также он не получил никакой награды.
Известно, что в 2019 году за обнаружение похожей уязвимости исследователь получил от Telegram 2000 евро, но требуют ли от добровольных помощников подписывать какие-то документы о неразглашении - достоверно неизвестно.
Сейчас в Google Play имеется версия Telegram v8.1.2, а баг, судя по всему, устранен в более ранних релизах мессенджера.
