A Signal nemrég adott ki javítást egy kritikus súlyosságú sérülékenység miatt, amely kihasználása lehetővé tette a rosszindulatú hívók számára, hogy a hang-és videócsatornákat akkor is aktívan tartsa, miután a felhasználó bontotta a vonalat.

A CVE- 2026-113380 számú sérülékenység a RingRTC nevű, nyílt forráskódú híváskezelő WebRTC-alapú könyvtárat érinti, amelyet a Signal a hang-és videóhívásokhoz használ. A sérülékenység kihasználásával a támadó nagyszámú irreleváns eseménnyel áraszthatta el a hívás állapotkezeléséért felelős véges állapotú automata (Finite State Machine, FSM) eseménysorát, megakadályozva ezzel a hívás lezárását. Ennek oka, hogy a rendszer a hívás befejezési szándékot nem azonnali megszakításként, ún. „kill switch”-ként, hanem csupán az FSM eseménysorába kerülő egyik eseményként kezelte, ráadásul nem volt korlátozva a távoli fél által küldött események mennyisége és a hívásbefejezési esemény sem élvezett elsőbbséget más eseményekkel szemben. A GitHubon közzétett leírás szerint, ha az eseménysort elárasztják irreleváns eseményekkel, akkor a hívásbefejezési jelzés a támadó által generált zaj mögé szorul, így a hívás és vele együtt a mikrofon és akár a kamera is, aktív marad.

A biztonsági rés a RingRTC 2.27.0-s verziójában került javításra még szeptember 4-én. A sebezhetőséggel kapcsolatos PoC előző hét kedden kerültek nyilvánosságra és a sérülékenység is kedden került felvételre a NIST NVD (National Vulnerability Database) adatbázisába. Az érintett felhasználóknak javasolt a frissítések mielőbbi telepítése!

(forrás)