Telegram MCP-сервер fast-mcp-telegram пустил атакующих к телеграм-сессии

Telegram MCP-сервер fast-mcp-telegram пустил атакующих к телеграм-сессии

Telegram MCP-сервер fast-mcp-telegram пустил атакующих к телеграм-сессии

В fast-mcp-telegram нашли критическую уязвимость под идентификатором CVE-2026-52830: хотели защититься токенами bearer, а в итоге превратили токен в путь к файлу. В результате атакующий может получить доступ к MCP-сессии Telegram по HTTP без валидного закрытого токена.

Fast-mcp-telegram — это MCP-сервер, который подключает телеграм-аккаунты к ИИ-ассистентам и HTTP-клиентам через сессионную модель аутентификации.

В версиях до 0.19.0 включительно проверка токена устроена так: сервер берёт строку из Authorization: Bearer, добавляет к ней .session, склеивает с директорией сессий и проверяет, существует ли такой файл.

Проблема в том, что токен не нормализуется как безопасный идентификатор. Код запрещает некоторые зарезервированные имена, например telegram, но не блокирует слеши, «..», абсолютные пути и другие конструкции.

Вместо закрытого ключа сервер фактически принимает относительный путь в файловой системе. Отличный подарок для атакующего, плохая новость для владельца телеграм-аккаунта.

В типичной конфигурации дефолтная сессия лежит в файле ~/.config/fast-mcp-telegram/telegram.session. Прямой токен telegram отклоняется, но обходной вариант вроде ../fast-mcp-telegram/telegram может схлопнуться файловой системой в тот же самый файл. Если файл существует, сервер принимает такой токен и аутентифицирует атакующего как дефолтный телеграм-аккаунт.

После этого злоумышленник может читать и отправлять сообщения, вызывать MTProto API и использовать доступные инструменты, привязанные к этой сессии. Защита на уровне префиксов инструментов тут уже не спасает: она срабатывает после аутентификации, а дверь к аккаунту к тому моменту уже открыта.

Уязвимость затрагивает fast-mcp-telegram до версии 0.19.0 включительно. В версии 0.19.1 разработчики ужесточили проверку и начали обращаться с bearer-токенами как с непрозрачными идентификаторами, а не как с кусками пути.

Администраторам рекомендуют срочно обновиться, ротировать дефолтные и старые session-файлы, а также проверить логи на подозрительные bearer-значения со слешами и «…».

Отгрузки «Группы Астра» за полугодие выросли до 7,3 млрд рублей

«Группа Астра» подвела итоги по отгрузкам за второй квартал и первое полугодие 2026 года. За шесть месяцев показатель вырос на 26% год к году и достиг 7,3 млрд рублей. Во втором квартале динамика ускорилась: отгрузки увеличились на 41% по сравнению с аналогичным периодом прошлого года.

В компании связывают рост с расширением бизнеса, увеличением клиентской базы и развитием продуктовой линейки. При этом «Астра» напоминает о сезонности: традиционно около 70% годовых отгрузок приходится на второе полугодие.

Во втором квартале компания отметила несколько крупных проектов. «Магнит» начал внедрение платформы GitFlic для работы с кодом и процессами разработки. Московский метрополитен переводит платежное оборудование на Astra Linux. «Ростелеком» завершил перевод разработки учебных курсов на платформу «Линда» от Knomary, входящей в «Группу Астра». «Северсталь» внедрила Astra Automation для управления разнородной ИТ-инфраструктурой.

За квартал «Группа Астра» выпустила 13 релизов продуктов. Среди них — новая версия Astra Linux 1.8.5, платформа Astra Dev Platform для организации цикла разработки приложений, облако Astra Cloud на отечественном технологическом стеке и третье поколение машин баз данных Tantor XData.

Также компания продолжила развивать программу технологического партнерства Ready for Astra. К концу первого полугодия 2026 года в ней участвовало более 1540 партнеров, а число совместимых решений превысило 4500.

Из корпоративных событий компания выделила одобренный советом директоров buyback. Обратный выкуп рассчитан на 12 месяцев или до достижения лимита в 4 млн акций, что составляет около 2% уставного капитала. Также «Группа Астра» выплатила дивиденды за 2025 год — 982 млн рублей, или 4,68 рубля на акцию.

В конце мая компания приобрела 26% разработчика ИИ «АИБ» и запустила центр компетенций «Астра ИИ». Финансовые результаты по МСФО за первое полугодие компания планирует раскрыть 27 августа.

RSS: Новости на портале Anti-Malware.ru