ZDI-CAN-30207-Schwachstelle in Telegram: CVSS 9.8-Analyse

ZDI-CAN-30207-Schwachstelle in Telegram: CVSS-v4-Analyse und Angriffsvektor

Zero Day Initiative hat einen Advisory zu einer Zero-Day-Schwachstelle in Telegram veröffentlicht, die als ZDI-CAN-30207 identifiziert ist. Der TrendAI-Forscher Michael DePlante (izobashi) hat das Problem entdeckt, das nach CVSS v4 mit 9,8/10 bewertet wird. Der Angriffsvektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H signalisiert hohe Gefahr: Remote-Code-Ausführung ohne Benutzerinteraktion.

Die Schwachstelle beeinträchtigt Vertraulichkeit (C:H), Integrität (I:H) und Verfügbarkeit (A:H) und deutet auf potenzielle beliebige Codeausführung hin. Telegram hat nach ZDI-Regeln 120 Tage Zeit für einen Patch, aber die Kritikalität könnte die Veröffentlichung beschleunigen.

Aufschlüsselung des CVSS-Angriffsvektors

Der Angriffsvektor beschreibt die Eigenschaften der Schwachstelle:

• AV:N — Angriffsvektor: Netzwerk. Die Ausnutzung ist remote über das Netzwerk möglich, ohne physischen Zugriff.
• AC:L — Angriffskomplexität: Niedrig. Niedrige Komplexität – keine speziellen Bedingungen oder Tools erforderlich.
• PR:N — Erforderliche Rechte: Keine. Der Angriff erfordert kein Konto oder Rechte.
• UI:N — Benutzerinteraktion: Keine. Keine Interaktion des Opfers erforderlich – nur das Empfangen der Daten.
• S:U — Scope: Unverändert. Auswirkungen beschränkt auf die betroffene Komponente.
• C:H/I:H/A:H — hoher Einfluss auf die CIA-Triade.

Diese Kombination macht die Schwachstelle ideal für Massenangriffe: RCE über das Netzwerk ohne Klicks.

| CVSS-Metrik | Wert | Beschreibung |

|-------------|------|--------------|

| AV | N | Netzwerkangriff |

| AC | L | Niedrige Komplexität |

| PR | N | Keine Rechte |

| UI | N | Keine Interaktion |

| S | U | Unveränderter Scope |

| C/I/A | H | Hoher Einfluss |

Bewertung der Kritikalität und Konsequenzen

Die Bewertung von 9,8/10 ordnet die Schwachstelle der kritischen Kategorie (9,0–10,0) zu. Für Entwickler auf Mittel- und Senior-Niveau sind folgende Punkte wichtig:

• RCE-Potenzial: C:H/I:H/A:H – führt in 99 % der Fälle zu beliebiger Codeausführung.
• Umfang: Betroffen sind alle Telegram-Plattformen ohne Authentifizierung.
• Zeitfenster: 120 Tage sind der ZDI-Standard, aber Telegram könnte schneller handeln.
• Schutzmaßnahme: Verdächtige Links oder Dateien vermeiden, bis der Patch verfügbar ist; auf Updates achten.

Es gibt noch keine öffentlichen PoCs, was das unmittelbare Risiko verringert, aber die Auflistung bei ZDI weist auf eine echte Bedrohung hin.

Wichtige Punkte

• ZDI-CAN-30207-Schwachstelle in Telegram hat eine CVSS-Bewertung von 9,8 mit Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• Ermöglicht Remote-Code-Ausführung ohne Benutzerinteraktion.
• Entdeckt von Michael DePlante (TrendAI/izobashi) über Zero Day Initiative.
• Telegram hat 120 Tage zur Behebung; Updates im Auge behalten.
• Empfehlung: Netzwerkverkehr prüfen und Patches umgehend anwenden.

— Editorial Team