Vulnérabilité ZDI-CAN-30207 dans Telegram : analyse CVSS 9.8

Vulnérabilité ZDI-CAN-30207 dans Telegram : Analyse CVSS v4 et vecteur d'attaque

La Zero Day Initiative a publié un avis concernant une vulnérabilité zero-day dans Telegram identifiée sous le nom ZDI-CAN-30207. Le chercheur de TrendAI, Michael DePlante (izobashi), a découvert cette faille, qui obtient un score de 9,8/10 sur CVSS v4. Le vecteur d'attaque AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H signale un danger élevé : exécution de code à distance sans interaction utilisateur.

Cette vulnérabilité affecte la confidentialité (C:H), l'intégrité (I:H) et la disponibilité (A:H), ce qui pointe vers un potentiel d'exécution arbitraire de code. Telegram dispose de 120 jours pour corriger la faille selon les règles de la ZDI, mais sa criticité pourrait accélérer la sortie du correctif.

Décomposition du Vecteur d'Attaque CVSS

Le vecteur d'attaque décrit les caractéristiques de la vulnérabilité :

• AV:N — Vecteur d'attaque : Réseau. L'exploitation est possible à distance via le réseau, sans accès physique.
• AC:L — Complexité d'attaque : Faible. Faible complexité — aucune condition ou outil spécial requis.
• PR:N — Privilèges requis : Aucun. L'attaque ne nécessite ni compte ni privilèges.
• UI:N — Interaction utilisateur : Aucune. Aucune interaction de la victime requise — juste la réception des données.
• S:U — Portée : Inchangée. L'impact est limité au composant vulnérable.
• C:H/I:H/A:H — impact élevé sur la triade CIA.

Cette combinaison rend la vulnérabilité idéale pour des attaques de masse : RCE via le réseau sans clic requis.

| Métrique CVSS | Valeur | Description |

|---------------|--------|-------------|

| AV | N | Attaque réseau |

| AC | L | Faible complexité |

| PR | N | Aucun privilège |

| UI | N | Aucune interaction |

| S | U | Portée inchangée |

| C/I/A | H | Impact élevé |

Évaluation de la Criticité et Conséquences

Le score de 9,8/10 classe la vulnérabilité dans la catégorie critique (9,0–10,0). Pour les développeurs de niveau intermédiaire et senior, les points clés sont :

• Potentiel RCE : C:H/I:H/A:H — conduit à une exécution arbitraire de code dans 99 % des cas.
• Portée : Affecte toutes les plateformes Telegram sans authentification.
• Fenêtre temporelle : 120 jours est la norme ZDI, mais Telegram pourrait agir plus vite.
• Atténuation : Évitez les liens ou fichiers suspects en attendant le correctif ; surveillez les mises à jour.

Aucune PoC publique n'est disponible pour l'instant, ce qui réduit le risque immédiat, mais sa présence dans la liste ZDI indique une menace réelle.

Points Clés

• Vulnérabilité ZDI-CAN-30207 dans Telegram avec un score CVSS de 9,8 et vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• Permet une exécution de code à distance sans interaction utilisateur.
• Découverte par Michael DePlante (TrendAI/izobashi) via Zero Day Initiative.
• Telegram a 120 jours pour corriger ; surveillez les mises à jour.
• Recommandation : Auditez le trafic réseau et appliquez les correctifs rapidement.

— Editorial Team