Ошибка Signal могла не выключать микрофон после звонка

В библиотеке звонков Signal нашли уязвимость, из-за которой звонок мог не завершиться после нажатия отбоя. Микрофон, а возможно и камера, при этом продолжали работать, хотя собеседник думал, что разговор окончен. Ошибку закрыли в версии библиотеки RingRTC 2.72.0, а подробности стали известны 20 октября, когда опубликовали запись CVE.

Уязвимость получила номер CVE-2026-113380 и оценку 9,3 из 10 по шкале CVSS, то есть считается критической. Под угрозой все версии RingRTC до 2.72.0. Эту библиотеку Signal сам разрабатывает для звонков в приложениях для Android, iOS и компьютеров.

Как работает атака

RingRTC построена на открытой технологии WebRTC, которая шифрует звук и видео. Само шифрование не пострадало, ошибка сидит в логике управления звонком. Библиотека обрабатывает команды по очереди, и если участник звонка завалит эту очередь запросами, команда отбоя может так и не выполниться.

Атаковать может только один из участников разговора, а не посторонний. Сложность атаки в записи CVE названа низкой. Признаков реального использования уязвимости нет, в каталоге активно эксплуатируемых уязвимостей CISA её нет.

Что изменили в исправлении

По данным The Register, в версии 2.72.0 команда отбоя распознаётся отдельно от общей очереди. Кроме того, разработчики добавили тайм-аут, чтобы зависшая обработка не блокировала завершение звонка. В журнале изменений Signal это описано одной строкой: звонки теперь «полностью завершаются в редких случаях».

Исправленная библиотека вышла в сентябре, и в Signal Desktop её включили в том же месяце. Когда обновление дошло до мобильных версий, из заметок к выпускам неясно. На запрос The Register в Signal не ответили. Пользователям стоит обновить Signal на всех устройствах до последней версии.

Источники: The Register — об уязвимости и исправлении, Signal на GitHub — журнал изменений RingRTC