AI 요약
텔레그램 데스크톱에서 IPC 인젝션을 이용한 원클릭 계정 탈취 취약점(CVE-2026-107181)이 발견됐다. 공격자는 그룹 채팅에 악성 링크를 올려 피해자가 클릭하도록 유도하고, 이 링크가 이미 실행 중인 텔레그램 인스턴스에 로컬 소켓으로 전달될 때 명령 구분자(세미콜론)가 이스케이프되지 않아 여러 명령으로 주입된다. 주입된 명령은 내부 URI 스킴 interpret:에 도달해 확인 절차 없이 임의 파일을 읽어 공격자 채팅으로 전송하며, 이를 통해 로그인 파일 탈취 및 계정 탈취가 가능하다.
핵심 포인트
- 영향 버전: Telegram Desktop 7.2.8 이하 (Windows 6.9.3에서 확인), 7.2.9에서 수정(커밋 db3405699f)
- CVE-2026-107181, CVSS 3.1 8.1 High (AV:N/AC:L/PR:N/UI:R)
- 두 결함 결합: 명령 구분자 미이스케이프 인젝션 +
interpret:URI의 무확인 파일 읽기 - 결과: 원격 임의 로컬 파일 읽기 → 공격자 채팅으로 유출 → 계정 탈취
향후 전망
- 7.2.9 미만 사용자의 즉시 업데이트 필요, 유사 IPC 직렬화 취약점 전수 조사 예상
- 데스크톱 메신저의 URI 스킴·IPC 보안 설계 재점검 논의 확대 전망