اشکال سیگنال می‌تواند پس از قطع کردن، میکروفون و دوربین شما را روشن نگه دارد

مطمئن شوید که پس از قطع تماس در سیگنال، هیچ چیز بد یا مخفی نگویید، زیرا یک اشکال در کتابخانه تماس برنامه پیام‌رسانی رمزگذاری شده می‌تواند از پایان صحیح تماس جلوگیری کند و به طور بالقوه صدا و احتمالا ویدیو را فعال کند.

این آسیب‌پذیری، CVE-2026-113380، توسط MITER در روز سه‌شنبه منتشر شد و امتیاز CVSS 9.3 داده شد، که آن را به عنوان یک مشکل مهم در کتابخانه منبع باز RingRTC سیگنال در هر نسخه قبل از 2.72.0 مشخص می‌کند. این به‌روزرسانی ماه گذشته منتشر شد، اما این آسیب‌پذیری تا کنون عمومی نشده بود.

RingRTC کتابخانه تماس خود سیگنال است که بر روی WebRTC ساخته شده است، فناوری معرفی شده در سال 2011 که از آن زمان به طور گسترده برای ارتباطات صوتی و تصویری از طریق اینترنت استفاده می شود. طبق گزارش CVE، RingRTC قابلیت تماس خاص سیگنال را با استفاده از WebRTC ارائه می‌کند، که قبلا ترافیک رسانه را رمزگذاری می‌کند، اما این مانع از قطع تماس‌های RingRTC در شرایط خاص نمی‌شود.

آنچه اتفاق می افتد، در اصل، یک حمله انکار سرویس به صف رویداد ماشین حالت محدود (FSM) RingRTC است که رویدادهای مربوط به مدیریت تماس ها را مدیریت می کند. اگر یکی از افرادی که در تماس هستند، صف FSM را از درخواست‌ها اشباع کند، ممکن است تحت فشار قرار گیرد و در پردازش درخواست قطع ناکام بماند و از پایان تماس به درستی جلوگیری کند. طبق گزارشی که در GitHub ارسال شده، این آسیب‌پذیری به‌عنوان CWE-754 یا بررسی نامناسب برای شرایط غیرعادی یا استثنایی طبقه‌بندی می‌شود.

یک اثبات مفهومی مفهوم در گزارش GitHub پیوند داده شده در بالا، با استفاده از یک اسکریپت پایتون برای شبیه‌سازی اینکه چگونه یک صف رویداد می‌تواند از پردازش درخواست hangup جلوگیری کند، موجود است.

اگر یک بازیگر مخرب برای سوء استفاده از این موضوع بود، ممکن است فرد طرف مقابل فکر کند که تماس خاتمه یافته است، اما یکی یا هر دو کانال ویدیویی و صوتی آنها همچنان باز هستند.

پیچیدگی حمله طبق CVE کم در نظر گرفته می‌شود، و در حالی که کاتالوگ آسیب‌پذیری‌های مورد سوء استفاده شناخته شده CISA نشان نمی‌دهد که این مورد در طبیعت مشاهده شده است، کاربران سیگنال باید مطمئن شوند که برنامه‌های خود - موبایل و دسکتاپ - را به آخرین نسخه‌ها به‌روزرسانی کرده‌اند تا مطمئن شوند که در نهایت بدون هیچ اطلاع‌رسانی در میکروفون داغ دستگیر نمی‌شوند.

مقایسه RingRTC 2.72.0 با نسخه قبلی نشان می‌دهد که اصلاح سیگنال به ماشین حالت محدود تماس (FSM) اجازه می‌دهد تا درخواست‌های خاتمه را مستقل از صف رویداد تشخیص دهد، در حالی که یک بازه زمانی اضافه می‌کند تا از مسدود شدن نامحدود پردازش متوقف شود.

از یادداشت‌های انتشار سیگنال کاملا مشخص نیست که نسخه ثابت RingRTC چه زمانی به نسخه‌های اندروید، iOS و دسکتاپ برنامه‌های آن رسیده است. تاریخچه انتشار Signal Desktop نشان می دهد که RingRTC 2.72.0 در سپتامبر گنجانده شده است، اما تاریخ دقیق عرضه در همه پلتفرم ها نامشخص است. ما برای کسب اطلاعات بیشتر با Signal تماس گرفتیم، اما پاسخی دریافت نکردیم.

در این بین، بهتر است نصب خود را به روز کنید تا مطمئن شوید که هنوز آسیب پذیر نیستید. این، و بعد از قطع تماس، مراقب آنچه می گویید باشید. ®