Tombol Bot Berbahaya Celah Keamanan Telegram Desktop

Tombol Bot Berbahaya Celah Keamanan Telegram Desktop – Sebuah celah kerentanan serius ditemukan pada aplikasi Telegram Desktop.

Di mana pesan yang dikirimkan oleh bot dapat menyisipkan kode tersembunyi JavaScript ke dalam dokumen obrolan saat pengguna melakukan ekspor percakapan ke format HTML.

Di dalam aplikasi Telegram, pesan tersebut tampak seperti pesan normal pada umumnya yang dilengkapi dengan tombol tautan interaktif.

Namun, kode skrip di baliknya baru akan tereksekusi secara otomatis ketika seseorang membuka berkas hasil ekspor obrolan tersebut menggunakan peramban web (browser).

Ketika aktif, skrip berbahaya ini mampu menyalin seluruh percakapan yang ada di dalam berkas tersebut ke peladen kendali penjahat siber atau bahkan memanipulasi tampilan halaman web secara keseluruhan.

Anatomi Kerentanan dan Mekanisme Penyebaran

Kerentanan ini bermula dari cara kode ekspor Telegram Desktop menangani teks tombol interaktif (inline keyboards).

Berdasarkan temuan, kode ekspor sebelumnya langsung menuliskan teks tombol tersebut ke dalam dokumen HTML tanpa melalui proses penyaringan karakter khusus.

Proses escaping berfungsi mengubah karakter khusus seperti < agar peramban web membacanya sebagai teks biasa, bukan sebagai bagian dari kode pemrograman.

Karena pengembang mengabaikan validasi ini pada bagian tombol sejak versi 4.15.1 yang dirilis pada Maret 2024, seorang pembuat bot dapat menyelipkan tag skrip di dalam teks tombol yang disamarkan dengan karakter tak terlihat sehingga tombol tersebut tampak kosong di aplikasi.

Penyebaran pesan ini juga sangat efektif di dalam ekosistem grup:

Bot tidak harus berada di dalam grup yang menjadi target. Pesan yang hanya berisi tombol tautan web akan mempertahankan tombol tersebut ketika diteruskan oleh anggota lain ke dalam grup, sehingga membawa serta kode tersembunyi tersebut ke riwayat obrolan.
Saat berkas HTML hasil ekspor dibuka di peramban, skrip langsung berjalan tanpa memerlukan klik tambahan dari pengguna. Skrip dapat membaca seluruh isi pesan, nama pengirim, stempel waktu, jenis obrolan, hingga jalur berkas lokal (local file path).
Dalam demonstrasi peneliti, skrip mampu mengubah tampilan arsip menjadi formulir “verifikasi” Telegram palsu atau memanipulasi catatan tanggal dan pengirim pesan.

Respons Pengembang dan Penanganan Celah

Pihak Telegram sebenarnya telah meluncurkan perbaikan melalui komit pengembang John Preston yang menambahkan fungsi escaping yang hilang.

Perbaikan ini masuk ke dalam kanal beta versi 6.9.4 pada 3 Juli dan dirilis secara stabil melalui versi 7.0.1 pada 14 Juli. Kendati demikian, pembaruan aplikasi ini tidak serta-merta membersihkan file HTML yang sudah terlanjur dieksport menggunakan versi aplikasi yang lebih lama.

Meskipun peneliti memberikan peringkat 8.2 dari skala CVSS 3.1, celah ini tidak memiliki pengenal CVE resmi maupun catatan penasihat keamanan (security advisory) di repositori publik Telegram.

Peneliti menyatakan bahwa pihak Telegram sempat menawarkan hadiah bug bounty sebesar $500 yang kemudian mereka tolak untuk dialihkan ke amal, sebelum akhirnya laporan dipublikasikan secara terbuka setelah perbaikan dirilis.

Mitigasi dan Pengamanan Pengguna

Bagi pengguna yang sering melakukan pencadangan atau pengarsipan riwayat percakapan secara lokal, disarankan untuk segera mengambil langkah-langkah pencegahan berikut:

Segera perbarui Telegram Desktop ke versi 7.0.1 (atau versi stabil terbaru) guna memastikan fitur ekspor sudah terlindungi dari injeksi skrip.
Perlakukan setiap dokumen ekspor HTML yang dibuat sebelum bulan Juli sebagai berkas yang tidak tepercaya, terutama jika berasal dari grup besar yang anggotanya tidak dikenal secara pasti.
Jika harus membuka berkas ekspor lama, pastikan untuk membuka dokumen tersebut dengan menonaktifkan fitur JavaScript pada peramban web Anda.
Setelah memperbarui aplikasi, lakukan ekspor ulang untuk obrolan penting yang sebelumnya pernah dicadangkan dalam format HTML.

Baca artikel lainnya: