Критический баг в Signal оставлял микрофон включенным после звонка

В библиотеке RingRTC, обеспечивающей голосовую и видеосвязь в мессенджере Signal, обнаружена критическая уязвимость. Исследователи выявили ошибку, из-за которой микрофон и камера устройства могли оставаться активными после завершения разговора.

Уязвимость получила оценку 9,3 балла по шкале CVSS, что указывает на высокий уровень опасности. Проблема заключается в обработке событий звонка: команда завершения вызова ставится в конец очереди без приоритета.

Атакующий может засыпать очередь лишними событиями, из-за чего команда на завершение соединения не обрабатывается вовремя. В результате звук и видео продолжают передаваться злоумышленнику даже после того, как пользователь видит экран завершения разговора.

Для реализации атаки не требуется прямой доступ к телефону жертвы — достаточно инициировать звонок. Автор уязвимости опубликовал рабочий Proof of Concept (PoC) на языке Python, демонстрирующий механизм эксплуатации бага.

Под угрозой находятся устройства на Android, iOS и настольные версии с сборками RingRTC старше 2.72.0. Исправление для десктопной версии вышло еще в сентябре, тогда как дата появления патча для мобильных клиентов остается неизвестной.

Разработчики устранили проблему, выделив обработку команды завершения в отдельный поток. Также был добавлен тайм-аут для предотвращения зависания очереди событий, что гарантирует корректное отключение микрофона и камеры.

Подробности об ошибке CVE-2026-113380 доступны в репозитории исследователя. Патч для десктопной версии можно найти в журнале изменений проекта RingRTC.