Ses recherches, présentées dans un résumé d’une intervention à OffensiveCon, décrivent des contournements des protections que Telegram affirmait auparavant empêcher les stickers malveillants d’atteindre les applications vulnérables.
Aziz affirme que du code de rendu défectueux est toujours déployé sur les clients officiels.
Ces allégations soulèvent de nouvelles questions quant à la gestion par Telegram des vulnérabilités liées aux stickers , bien que le résumé laisse en suspens des détails importants concernant les versions affectées, les conditions d’exploitation et les mesures correctives.
Un chercheur affirme qu’il est possible de contourner les contrôles par autocollant.
L’enquête d’Aziz, qui a duré un an, s’est concentrée sur rlottie, la bibliothèque de rendu d’animations utilisée pour les stickers animés de Telegram.
D’après son résumé, les tests ont révélé plusieurs vulnérabilités de corruption de mémoire affectant les clients Telegram sur iOS, Android et ordinateurs. Il a utilisé des modèles de langage complexes pour faciliter le fuzzing, une technique qui consiste à soumettre un logiciel à des entrées malformées afin d’identifier les comportements inattendus.
Le chercheur a ensuite identifié des failles logiques distinctes dans les processus de distribution et de validation des stickers de Telegram . La combinaison de ces failles lui aurait permis de contourner les mesures de sécurité et d’accéder au code de rendu vulnérable.
Aziz affirme avoir finalement exploité ces vulnérabilités pour exécuter du code malveillant sur Telegram pour iOS . Cependant, son résumé reconnaît explicitement les limitations de l’exploit obtenu.
Une attaque sans clic ne requiert aucune action délibérée de la part de sa cible. De ce fait, le contenu traité automatiquement représente un problème de sécurité particulièrement sensible.
La documentation pour développeurs de Telegram explique que les stickers animés utilisent le format .tgs, qui contient des données d’animation JSON compressées que rlottie peut afficher.
L’application traite donc des instructions d’animation structurées au lieu d’afficher simplement une image statique.
Le résumé publié n’établit pas que l’exécution du code iOS revendiquée permette un accès illimité à l’intégralité d’un iPhone ou qu’elle contourne les protections du système d’exploitation d’Apple.
Avis d’octobre : un éclairage nouveau sur le différend de mars
Ces allégations font suite à un rapport de vulnérabilité distinct de l’initiative Zero Day de Trend Micro, attribué au chercheur Michael DePlante.
ZDI a publié cet avis le 15 octobre, identifiant le problème comme CVE-2026-111105, avec un score de gravité de 7,0. Il décrit une vulnérabilité de troncature numérique dans rlottie qui peut amener un logiciel à écrire avant le début d’une mémoire tampon allouée.
D’après ZDI, un attaquant pourrait exploiter cette faille pour exécuter du code au sein du processus affecté. Point crucial, l’avis de sécurité publié précise que l’exploitation nécessite une interaction de l’utilisateur , comme l’ouverture d’un fichier malveillant ou la consultation d’une page web malveillante.
Les lecteurs doivent donc faire la distinction entre la vulnérabilité documentée et les chaînes d’attaques sans clic récemment revendiquées par Aziz .
La chronologie des divulgations fait état de la position de Telegram le 31 mars, selon laquelle la validation côté serveur atténuait la vulnérabilité.
Telegram a ensuite demandé la chaîne complète d’exécution de code à distance . ZDI a rejeté cette demande, la jugeant incompatible avec les pratiques établies de divulgation coordonnée, et a par la suite notifié à Telegram son intention de publier un avis de vulnérabilité zero-day.
L’avis d’octobre ne mentionne aucune version corrigée et recommande de limiter l’interaction avec le produit.
Les défauts des autocollants précédents mettent en évidence un défi récurrent
Le code des stickers animés de Telegram a déjà fait l’objet d’un examen minutieux en matière de sécurité.
Dans une étude de 2021, la société de cybersécurité Shielder a recensé 13 vulnérabilités découvertes lors d’une enquête menée en 2020 sur la surface d’attaque du traitement des animations de Telegram. Parmi celles-ci figuraient des corruptions de mémoire, des erreurs de type et des attaques par déni de service.
Shielder a indiqué que Telegram avait corrigé ces vulnérabilités spécifiques via des mises à jour Android, iOS et macOS publiées en septembre et octobre 2020. Ces correctifs antérieurs ne permettent pas d’établir la validité des découvertes actuelles d’Aziz.
La question centrale est désormais de savoir si les contrôles effectués par le serveur de Telegram compensent adéquatement les vulnérabilités du code client.
Aziz soutient que le filtrage contournable engendre une dépendance dangereuse vis-à-vis de l’infrastructure du fournisseur. Son résumé évoque même la possibilité de qualifier cette architecture de porte dérobée.
Cette caractérisation reste son argument. Les éléments publiés ne démontrent ni l’existence d’une porte dérobée intentionnellement implantée, ni une campagne de piratage active, ni une compromission généralisée des utilisateurs de Telegram.
