Signal-ის RingRTC-ის ხარვეზმა შესაძლოა ზარის დასრულების შემდეგ აუდიო და ვიდეო ჩართული დატოვოს

დაუცველობის დეტალები

Signal-ის მიერ გამოყენებული RingRTC-ის ბიბლიოთეკის ხარვეზი შესაძლოა იმის მიზეზი გახდეს, რომ ზარი ბოლომდე არ დასრულდეს. პრობლემა არსებობს 2.72.0-მდე ყველა ვერსიაში და MITRE-მ მას CVE-2026-113380 იდენტიფიკატორი და CVSS-ის 9.3 ქულა მიანიჭა.

პრობლემა მაშინ ჩნდება, როცა თანამოსაუბრის მხარე ზარის სასრული მდგომარეობების მანქანის რიგს ბოლომდე ავსებს; ეს აფერხებს ზარის ლოკალურად დასრულების პროცესს და შესაძლოა აუდიო ტრეკი აქტიური დატოვოს, ვიდეო ტრეკიც შესაძლოა აქტიური დარჩეს.

გავლენა მომხმარებლებზე

მას შემდეგ, რაც მომხმარებელი ზარს დაასრულებს, მიკროფონი ან კამერა შესაძლოა აქტიური დარჩეს. არ არის გარკვეული, რას აჩვენებს ამ დროს აპლიკაცია ეკრანზე, და გადაცემის შესაძლო ხანგრძლივობა არ არის მითითებული. არ არსებობს მტკიცებულება მისი რეალურ გარემოში ექსპლუატაციის შესახებ.

Cybernews-ის ცნობით, ამ ხარვეზის მეშვეობით პაროლების ან ანგარიშის მონაცემების მოპარვა შეუძლებელია; რისკი მხოლოდ ზარის დასრულების შემდეგ არასასურველი მოსმენით ან ყურებით შემოიფარგლება.

რისკის შემცირება და განახლებები

Signal-მა გასულ თვეში RingRTC-ის განახლება გამოუშვა, რომელიც ამატებს ტაიმაუტს და ზარის მდგომარეობათა მანქანას საშუალებას აძლევს, დასრულების მოთხოვნები მოვლენების რიგისგან დამოუკიდებლად ამოიცნოს. გამოშვების ჩანაწერებიდან ზუსტად არ ირკვევა, როდის მიაღწია შესწორებულმა ვერსიამ Android-ის, iOS-ისა და დესკტოპის ვერსიებამდე.

მომხმარებლებმა Signal-ის უახლესი ხელმისაწვდომი ვერსია თითოეულ მოწყობილობაზე უნდა დააყენონ. ამ პრობლემისგან დაცვის ძირითად საშუალებად კვლავ აპლიკაციის განახლება რჩება.

წყაროები: Cybernews · The Register