В Telegram нашли уязвимость, но разработчики не торопятся её исправить и пытаются скрыть от общественности

Заявление Telegram о том, что уже несколько лет пользователи мессенджера могут бесследно удалять сообщения для всех участников беседы, оказалось несоответствующим действительности. На самом деле следы остаются, в том числе и из чатов, для которых настроено автоудаление сообщений. И что хуже, разработчики мессенджера вовсе не торопятся исправлять данный изъян.

Как выяснил один из пользователей, в приложении Telegram на Android сообщения-картинки на самом деле удалялись только в окне чата, но оставались в виде изображений в открытом кэше на устройстве, доступном в памяти смартфона или планшета по адресу: /Storage/Emulated/0/Telegram/Telegram Image.

Протестировав обнаруженный баг на разных гаджетах под управлением Android версий с 7 по 10, пользователь известил об этом компанию в марте 2021 года. В ответ он получил обещание выпустить вскоре обновление с устранённым багом. Однако этого не произошло — в очередном обновлении мессенджера уязвимость не была устранена. Пользователь продолжал на протяжении нескольких месяцев напоминать компании об имеющемся баге, но получал лишь отписки и обещания внести исправления.

Тогда пользователь пригрозил Telegram рассказать об уязвимости СМИ, после чего в компании вновь пообещали вскоре выпустить обновление. Через полтора месяца после этого мессенджер обновили до новой версии, и опять без исправления уязвимости.

Время шло. В июле пользователь создал приватный групповой чат и пригласил для тестирования бага представителя Telegram. После месяца тестирования представитель компании признал наличие проблемы. В начале сентября пользователю предоставили ссылку на beta-версию Telegram, в которой, как оказалось, проблема автоудаления так и не была устранена. Когда её всё же удалось устранить, пользователю прислали договор, согласно которому ему полагалось вознаграждение за обнаружение бага.

В числе пунктов этого договора было требование о неразглашении подробностей об сотрудничестве без письменного согласия компании, включая техническую информацию и даже размер комиссий. В итоге пользователь отказался подписывать договор в таком виде, а компания практически прекратила с ним общение — то есть он остался без вознаграждения. Зато общественность узнала о подходе команды мессенджера к решению важных проблем.

Источник: