【0day】Telegram私密群组/频道未授权访问

原文链接: https://mp.weixin.qq.com/s?__biz=MzkzNTcwOTgxMQ==&mid=2247486099&idx=1&sn=cd70d35575862813b29e724bd02777a8

Spade sec 2025-07-10 00:44

免责声明

❝
由于传播、利用本公众号”隼目安全”所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号”隼目安全”及作者不为此承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉谢谢！

在此前黄豆安全实验室发现了

“Telegram消息屏蔽绕过0day”

经过我们更深入的研究，有了如下发现：

一、漏洞深度利用风险
：
– 原初始屏蔽机制漏洞可被进一步深度利用，影响用户查看内容与权限

二、平台机制缺陷
：
– 我们发现Telegram屏蔽机制存在系统性缺陷，将涉及到频道指向和用户权限管理等多个关键环节

目前我们已确认该漏洞可导致：
– 敏感数据泄露。各种媒体内容、文件一览无余。对于攻击者已经加入或已屏蔽的频道，删除媒体、文件后攻击者仍可以查看

Tips：以上内容除非Telegram官方修复，否则均无法防范。

下图为

“影响用户的权限和查看内容”

证明，可以看到频道名与下方频道消息所显示的频道名截然不同，频道原名为*ECHNOLOGY……，而下方频道消息所显示的频道名为K.P……

下面两张图为

“影响范围将覆盖所有私密频道和群组”

证明，第一张图是一个老外的家庭私密频道，媒体内容为其孩子的照片（已打码），可见频道描述页面无公开频道字样与链接：

而下面这张图为

公开频道

的描述页面，可见描述页面存在公开频道字样与链接：

由于该漏洞仍存在深度利用和发掘价值，故

暂不公开

利用过程，原黄豆安全实验室所发现的

“Telegram消息屏蔽绕过0day”

已被修复，但仍然存在绕过方式，只是更为复杂。

结论：
该漏洞可以查看所有私密频道和群组的文件、消息记录、链接和图片视频等，包含已经封禁的频道与群组。且除非官方修复，则均无法避免。这将对用户数据以及隐私安全造成严重威胁，但可以用于取证和各种神神秘秘操作。

切勿在私密群组、频道中存储例如账号、密码、个人信息数据等敏感内容。如已经在私密频道或群组存储了敏感信息的，建议立即删除。

往期推荐

文稿 | x8i、骨头

制作 | x8i

审发 | 隼目安全