Signal қатесі қоңыраудан соң микрофонды өшірмей қалған

Signal қоңырау кітапханасынан осалдық табылды: соның кесірінен қоңырау тұтқаны қойғаннан кейін аяқталмай қалуы мүмкін еді. Бұл кезде микрофон, тіпті камера да жұмысын жалғастыра берген, ал әңгімелесуші сөйлесу бітті деп ойлаған. Қате RingRTC кітапханасының 2.72.0 нұсқасында жабылды. Толық мәлімет 20 қазанда CVE жазбасы жарияланғанда белгілі болды.

Осалдық CVE-2026-113380 нөмірін алды, CVSS шкаласы бойынша 10-нан 9,3 баға берілді. Яғни ол сыни деп саналады. RingRTC-тің 2.72.0-ге дейінгі барлық нұсқасы қауіпте. Бұл кітапхананы Signal Android, iOS және компьютерге арналған қосымшалардағы қоңыраулар үшін өзі әзірлейді.

Шабуыл қалай жүреді

RingRTC дыбыс пен бейнені шифрлайтын ашық WebRTC технологиясына негізделген. Шифрлаудың өзі зардап шеккен жоқ, қате қоңырауды басқару логикасында. Кітапхана командаларды кезекпен өңдейді. Сондықтан қоңырау қатысушысы бұл кезекті сұраныстармен толтырып тастаса, тұтқаны қою командасы орындалмай қалуы мүмкін.

Шабуыл жасай алатын тек әңгімеге қатысушылардың бірі, бөгде адам емес. CVE жазбасында шабуылдың күрделілігі төмен деп көрсетілген. Осалдықтың нақты пайдаланылғаны туралы белгі жоқ: CISA-ның белсенді пайдаланылатын осалдықтар каталогында ол жоқ.

Түзетуде не өзгерді

The Register мәліметінше, 2.72.0 нұсқасында тұтқаны қою командасы жалпы кезектен бөлек танылады. Оған қоса әзірлеушілер күту уақытын шектеді, сондықтан қатып қалған өңдеу қоңыраудың аяқталуын бөгей алмайды. Signal өзгерістер журналында мұны бір жолмен сипаттаған: қоңыраулар енді «сирек жағдайларда толық аяқталады».

Түзетілген кітапхана қыркүйекте шықты, Signal Desktop-қа ол сол айда енгізілді. Ал жаңарту мобильді нұсқаларға қашан жеткені шығарылым жазбаларынан белгісіз. Signal The Register сұрауына жауап бермеді. Пайдаланушыларға Signal-ды барлық құрылғыда соңғы нұсқаға дейін жаңартқан жөн.

Дереккөздер: The Register — осалдық және түзету туралы, Signal, GitHub — RingRTC өзгерістер журналы