Attenzione agli utenti di Signal: un bug potrebbe tenere attivo il microfono e la fotocamera
Gli utenti della popolare app di messaggistica Signal devono prestare attenzione a ciò che dicono dopo aver terminato una chiamata. Un bug nella libreria di chiamata dell’app potrebbe infatti impedire la chiusura corretta delle conversazioni, mantenendo attivi sia l’audio che, in alcuni casi, il video.
La vulnerabilità, identificata con il codice CVE-2026-113380, è stata pubblicata martedì da MITRE e ha ricevuto un punteggio CVSS di 9.3, segnalandola come un problema critico all’interno della libreria open-source RingRTC di Signal. Questa vulnerabilità riguarda tutte le versioni precedenti alla 2.72.0 e l’aggiornamento è stato rilasciato lo scorso mese, ma la questione non era stata resa pubblica fino ad ora.
RingRTC è la libreria di chiamata di Signal costruita su WebRTC, una tecnologia introdotta nel 2011, oggi ampiamente utilizzata per le comunicazioni vocali e video su Internet. Sebbene WebRTC criptari il traffico multimediale, il bug di RingRTC consente di non terminare correttamente la chiamata in alcune circostanze, come riportato nel documento sulla CVE.
Il problema, in sostanza, è descritto come un attacco di denial-of-service alla macchina a stati finiti (FSM) della libreria RingRTC, responsabile della gestione degli eventi delle chiamate. Se uno dei partecipanti alla chiamata satura la coda di eventi della FSM con troppe richieste, questa può bloccarsi e non riuscire a elaborare una richiesta di conclusione chiamata, lasciando quindi il canale audio o video aperto. La vulnerabilità è classificata come CWE-754, ovvero un’errata verifica di condizioni insolite o eccezionali, come indicato in un report su GitHub.
Un esempio concettuale dell’attacco è disponibile nel report di GitHub, dove viene presentato un script in Python in grado di simulare come il sovraccarico di una coda di eventi possa impedire l’elaborazione di una richiesta di chiusura della chiamata.
Un eventuale attaccante potrebbe sfruttare questa vulnerabilità per far credere all’interlocutore che la chiamata sia stata terminata, mentre i canali audio e video potrebbero essere ancora attivi. La complessità dell’attacco è considerata bassa secondo la CVE, e sebbene il catalogo delle vulnerabilità exploitate conosciute della CISA non indichi che questo problema sia stato riscontrato in situazioni reali, gli utenti di Signal dovrebbero assicurarsi di avere aggiornato le proprie app – sia su mobile che su desktop – all’ultima versione per non rischiare di essere sorpresi da un microfono acceso senza alcun preavviso.
Confrontando RingRTC 2.72.0 con la versione precedente, si evince che il fix di Signal consente alla FSM di rilevare la richiesta di terminazione indipendentemente dalla coda di eventi, introducendo inoltre un timeout per evitare che l’elaborazione bloccata impedisca la chiusura della chiamata.
Non è chiarissimo quando la versione corretta di RingRTC sia stata implementata nelle app per Android, iOS e desktop. La cronologia delle versioni di Signal Desktop indica che RingRTC 2.72.0 è stato incorporato a settembre, ma le date esatte di distribuzione su tutte le piattaforme rimangono oscure. Abbiamo contattato Signal per ulteriori chiarimenti, ma non abbiamo ancora ricevuto una risposta.
Nel frattempo, è consigliabile aggiornare l’installazione per assicurarsi di non essere più vulnerabili. E, soprattutto, fare attenzione a ciò che si dice dopo aver chiuso una chiamata.
