Aplikace Signal je pověstná tím, že si zakládá na ochraně soukromí a šifrování komunikace. Významný boom zaznamenala v lednu 2021, kdy konkurenční aplikace WhatsApp přikročila k vydání kontroverzních podmínek pro ochranu soukromí uživatelů. Bohužel ani tak bezpečná aplikace, jakou by se Signal mohla zdát, není zcela „neprůstřelná“. Bezpečnostní experti v ní odhalili chybu, která může způsobit, že mikrofon a potenciálně také kamera zůstanou aktivní i po ukončení hovoru. Zranitelnost získala z hlediska kritičnosti hodnocení 9,3 z 10 bodů a Signal pro tuto chybu už vydal opravu.
Signal postihla bezpečnostní zranitelnost
Bezpečnostní chyba s označením CVE-2026-113380 je obsažena v knihovně RingRTC, kterou Signal používá pro hlasové hovory a videohovory. Ta vychází z technologie WebRTC a zajišťuje správu komunikace mezi účastníky. Rovina zneužití je hodně teoretická, nicméně problém může nastat ve chvíli, kdy jedna účastnická strana zahltí systém velkým množstvím požadavků. Knihovna pak nemusí správně zpracovat příkaz k ukončení hovoru. Uživatel se tak může domnívat, že zavěsil, zatímco přenos zvuku a případně i obrazu i nadále pokračuje. Útočník by tak teoreticky mohl odposlouchávat konverzaci nebo sledovat obraz z kamery i poté, co druhá strana považuje hovor za ukončený. Nejde přitom o prolomení samotného šifrování Signalu, ale o chybu v řízení hovorů.
Zdroj: Signal
Zranitelnost postihuje všechny verze knihovny RingRTC verze 2.72.0 a starší. Signal opravu vydal již v září, ale podrobnosti o bezpečnostním problému vyšly teprve před pár dny. Oprava mění způsob, jakým jsou zpracovávány požadavky na ukončení hovoru. Systém je nově dokáže rozpoznat nezávisle na vytížení fronty pro další požadavky a využívá také časový limit, který brání nekonečnému čekání.
Případy, kdy by tato zranitelnost byla zneužita, zatím zaznamenány nebyly. I přesto je doporučeno aktualizovat Signal na nejnovější verzi, a to jak na telefonech s Androidem a iOS, tak i na počítačích. Signal zatím neuvedl, kdy opravenou knihovnu implementuje do všech verzí své aplikace napříč všemi platformami.
Zdroj: theregister.com