A Signal hibája miatt a hívás bontása után is aktív maradhatott a mikrofon
A vonal bontása sem feltétlenül állította le a mikrofont és a kamerát egy kritikus Signal-hiba kihasználásakor. Az NKI figyelmeztetése szerint a rosszindulatú hívó megakadályozhatta a hang- és videókapcsolat lezárását. A híváskezelő könyvtárhoz már elkészült a javítás, az érintetteknek mielőbb frissíteniük érdemes.
A hívás lezárását szoríthatta háttérbe a támadó
A CVE-2026-113380 azonosítójú sérülékenység a RingRTC nevű, nyílt forráskódú híváskezelő könyvtárat érinti. A Signal ezt használja a hang- és videóhívásokhoz. Az NKI kritikus súlyosságúnak nevezi a biztonsági rést.
A probléma a kapcsolat állapotát kezelő rendszerben volt. A távoli fél nagyszámú, oda nem tartozó eseményt küldhetett, amelyek feltorlódtak a feldolgozásra váró sorban. A bontási jelzés ezek mögé kerülhetett, ezért a program nem zárta le a beszélgetést, amikor a felhasználó ezt kérte.
Az NKI által idézett GitHub-leírás szerint ilyenkor a hangkapcsolattal együtt a mikrofon, videóhívásnál pedig akár a kamera is aktív maradhatott. A felhasználó tehát már kezdeményezte a befejezést, de a támadó által előidézett állapot megakadályozhatta annak végrehajtását.
A bontási parancs nem kapott elsőbbséget
A rendszer a befejezési kérést nem azonnali megszakításként kezelte. Ugyanolyan feldolgozásra váró eseményként tette a sorba, mint a többi jelzést, és nem adott neki elsőbbséget.
Ehhez társult, hogy a távoli féltől érkező események mennyiségét sem korlátozta. A rosszindulatú hívó így eláraszthatta a sort, miközben a lezáráshoz szükséges utasítás a generált zaj mögött várakozott. Az NKI leírása ezt a működést nevezi meg a sérülékenység okaként.
A RingRTC 2.27.0 már javította a hibát
A biztonsági rést a RingRTC 2.27.0 verziójában javították szeptember 4-én. Ez a híváskezelő könyvtár kiadásszáma, nem a Signal alkalmazásé.
Az NKI október 26-i beszámolója szerint a sérülékenység az előző hét keddjén került be a NIST NVD adatbázisába. A figyelmeztetés az érintett felhasználóknak a frissítések mielőbbi telepítését javasolja.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum