Niedawno ujawniona luka w oprogramowaniu Signal może sprawić, że inny uczestnik rozmowy będzie nadal słyszał Twoją rozmowę po jej zakończeniu.
Luka, oznaczona numerem CVE-2026-113380 ( wynik CVSS 9,3 na 10), dotyczy wersji RingRTC starszych niż 2.72.0. RingRTC to biblioteka typu open source, która stoi za funkcjonalnością połączeń głosowych i wideo w Signal, zapewniająca komponenty do obsługi połączeń w aplikacjach mobilnych i stacjonarnych.
Luka dotyczy sposobu, w jaki biblioteka wywołań Signala przerywa połączenie. Nie wpływa ona na sposób szyfrowania rozmów. Zgodnie z opublikowanym opisem luki , inny uczestnik może przeciążyć wewnętrzną kolejkę zdarzeń połączenia i zakłócić kroki, które powinny je rozłączyć po zakończeniu połączenia.
Głównym problemem jest niechciane podsłuchiwanie, gdy ktoś uważa, że rozmowa się zakończyła. Jeśli złośliwy uczestnik rozmowy skutecznie wyzwoli lukę, potencjalnie może nadal słyszeć dźwięk, którym druga osoba nie zamierzała się już dzielić. Może to być rzucona mimochodem uwaga, rozmowa z kimś w pobliżu lub inny prywatny dźwięk w tle.
Opis luki wspomina również, że wideo może pozostać aktywne, ale nie potwierdza tego zachowania ani nie wyjaśnia, co użytkownicy, których dotyczy luka, zobaczą na ekranie. Nie precyzuje również, jak długo może trwać dalsza transmisja.
Nie ma żadnych znanych doniesień o wykorzystaniu luki w zabezpieczeniach. Luka dotyczy jedynie sposobu zakończenia połączenia. Nie wiąże się ona ze skradzionymi hasłami, przejętymi kontami ani ujawnionymi historiami wiadomości, które wymagałyby zresetowania hasła.
Co robić
Twórcy zaktualizowali kod, aby zwiększyć odporność zamknięcia systemu na sytuacje, gdy wewnętrzna kolejka połączeń jest pełna lub gdy inny etap kończenia połączenia się nie powiedzie.
Zainstaluj wszystkie dostępne aktualizacje Signal na swoich urządzeniach. Poprawka jest dostępna w bibliotece RingRTC, ale wersje aplikacji Signal, których dotyczy problem, i te, których dotyczył pierwszy problem, nie zostały jeszcze publicznie potwierdzone w sprawdzonych źródłach.
Osobiście znalazłem aktualizację w sklepie Google Play, która przywróciła mi Android Aplikacja jest zaktualizowana do wersji 8.32.2. Nie znalazłem jej w Apple App Store, choć może to wynikać z włączonej automatycznej aktualizacji . Aktualna wersja na moim iPadzie to 8.32 (1910). Chociaż myślę, że oznacza to, że wszystko jest załatane, trudno to potwierdzić na stronie Signal.
Wysłałem e-mail do Signal z prośbą o wyjaśnienia i zaktualizuję ten artykuł, gdy tylko otrzymam odpowiedź.
Oszuści wiedzą o tobie więcej, niż ci się wydaje.
Malwarebytes Mobile Security Chroni Cię przed phishingiem , wiadomościami typu scam, złośliwymi witrynami i nie tylko. Dzięki wbudowanej funkcji Scam Guard, działającej w czasie rzeczywistym i opartej na sztucznej inteligencji.
