Помилка RingRTC у Signal може залишати аудіо та відео активними після завершення дзвінка

Деталі вразливості

Помилка в бібліотеці RingRTC, яку використовує Signal, може завадити повному завершенню дзвінка. Проблема існує в усіх версіях до 2.72.0, їй присвоєно CVE-2026-113380 та оцінку CVSS 9,3 від MITRE.

Проблема виникає, коли співрозмовник переповнює чергу скінченного автомата станів дзвінка; це заважає локальному завершенню дзвінка й може залишити активними аудіотрек, а можливо, і відеотрек.

Вплив на користувачів

Після завершення дзвінка мікрофон або камера можуть залишатися активними. У повідомленні про вразливість не сказано, що саме показує застосунок на екрані в такій ситуації, а тривалість можливої передачі не вказана. Доказів того, що вразливість експлуатувалася в реальних умовах, немає.

За оцінкою Cybernews, через цю помилку неможливо викрасти паролі чи дані облікових записів; ризик обмежується небажаним прослуховуванням або переглядом після того, як дзвінок виглядає завершеним.

Пом'якшення та оновлення

Signal минулого місяця випустив оновлення RingRTC, яке додає тайм-аут і дає змогу автомату станів дзвінка виявляти запити на завершення незалежно від черги подій. З приміток до випуску неясно, коли саме виправлена версія потрапила до збірок для Android, iOS і настільних систем.

Користувачам слід встановити найновішу доступну версію Signal на кожному пристрої. Оновлення застосунку залишається основним захистом від цієї проблеми.

Джерела: Cybernews · The Register