В мессенджере Signal была обнаружена критическая уязвимость безопасности, позволявшая следить за пользователями через камеру и микрофон после завершения звонка Известно, что сбой затрагивал только логику завершения соединения, а не алгоритмы сквозного шифрования. Уязвимость мог использовать только тот, кто уже являлся непосредственным участником звонка, а потому использование бага с целью компрометации собеседника должно было подразумевать и включение в схему социальной инженерии. Уязвимость содержалась в открытой библиотеке RingRTC, которая отвечает за аудио- и видеозвонки в Signal. В процессе разговора злоумышленник мог намеренно «завалить» внутреннюю очередь событий вызова мусорными запросами. Теоретически, без исправлений в коде, трансляция могла длиться до тех пор, пока злоумышленник сам не разорвёт соединение. Проблеме был присвоен индекс CVE-2026-113380 с критической оценкой 9,3 из 10 баллов по международной шкале CVSS. Разработчики Signal уже исправили уязвимость, вынеся команду сброса в приоритетный поток и принудительно добавив таймер, который гарантированно обрывает соединение после сброса звонка.
- 3
- 1