#安全资讯 Telegram Desktop 被爆出高危安全漏洞，极端情况下黑客诱导用户点击链接即可劫持用户账号并窃取 PC 上的文件。研究人员提前通报后 Telegram 已经在 9 月 17 日发布的 7.2.9 版中修复漏洞，用户需升级到最新版。另外建议用户开启 Telegram 本地锁定密码，该功能默认关闭，开启后可以加密会话，提高账号安全性，例如应对此次安全漏洞中的账号会话劫持问题。查看全文：https://ourl.co/127269
日前安全研究员披露即时通讯工具 Telegram Desktop 版出现的高危安全漏洞，该漏洞已经通过漏洞协调机制通报给 Telegram，后者在 9 月 17 日发布 7.2.9 版修复漏洞，目前大多数用户应该已经更新到新版本，所以安全研究员公开披露这个漏洞。
攻击者可以通过特制链接利用客户端的进程间通信机制，在用户点击链接后控制部分内部操作，向攻击者控制的聊天或频道发送本地文件。若被窃取的是 Telegram 会话数据且用户未设置客户端本地密码，那攻击者还有可能劫持账号。
问题主要出现在单实例通信机制中，Telegram 桌面版支持使用 tg:// 链接拉起客户端，当系统中已经运行 Telegram 桌面版时，新启动的进程会通过本地套接字将链接内容传递给正在运行的客户端。
问题在于，旧版本没有正确处理通信数据中的特殊分隔符，攻击者可以构造包含异常参数的链接，让客户端将原本应当作为一个链接处理的内容拆分成多个内部指令，从而注入额外的 OPEN 操作。
攻击链还可以触及 Telegram 桌面版用于自动处理文件和脚本的内部路径，通过预先准备相关文件，再诱导目标用户点击外部链接，攻击者能够让客户端在不明显提示用户的情况下发送本地文件。
针对可能存在的本地会话文件窃取等问题，Telegram 此前已经提供本地锁定密码，不过该功能默认是关闭的。本地锁定密码并非账号登录验证、额外的两步验证密码，本地锁定密码必须单独开启和设置，可以与两步验证密码相同或不同。
在启用本地锁定密码后，用户可以随时锁定 Telegram 或设置超时后自动锁定，本地相关会话文件也是加密的，因此对用户而言虽然使用本地锁定密码后日常使用可能会遇到需要额外解锁的情况，但这有助于提高安全性，建议用户都开启本地锁定密码。
消息源：Opennet