Signal corrigió una vulnerabilidad crítica que impedía finalizar llamadas, dejando micrófonos abiertos. Se recomienda actualizar Signal para evitar riesgos de privacidad.







Asegúrate de no decir nada malo o secreto después de colgar una llamada en Signal, ya que un error en la biblioteca de llamadas de la aplicación de mensajería cifrada podría evitar que una llamada finalice correctamente, dejando potencialmente activos el audio y posiblemente el video.

La vulnerabilidad, CVE-2026-113380, fue publicada por MITRE el martes y recibió una puntuación CVSS de 9.3, marcándola como un problema crítico en la biblioteca de código abierto RingRTC de Signal en todas las versiones anteriores a la 2.72.0. Esa actualización fue lanzada el mes pasado, pero la vulnerabilidad no se hizo pública hasta ahora.

RingRTC es la propia biblioteca de llamadas de Signal construida sobre WebRTC, una tecnología introducida en 2011 que desde entonces ha sido ampliamente utilizada para la comunicación de voz y video a través de internet. RingRTC proporciona funcionalidad de llamadas específica de Signal utilizando WebRTC, que ya cifra el tráfico de medios, pero eso no impide que RingRTC falle al colgar las llamadas en ciertas condiciones, según el informe CVE.


Lo que está sucediendo es, en esencia, un ataque de denegación de servicio en la cola de eventos de la máquina de estados finitos (FSM) de RingRTC, que gestiona los eventos implicados en la administración de llamadas. Si una de las personas en la llamada satura la cola FSM con solicitudes, esta puede verse abrumada y no procesar una solicitud de colgado, evitando que la llamada termine correctamente. La vulnerabilidad está clasificada como CWE-754, o verificación incorrecta de condiciones inusuales o excepcionales, según un informe publicado en GitHub.

Una prueba de concepto conceptual está disponible en el informe de GitHub enlazado anteriormente, utilizando un script de Python para simular cómo la saturación de una cola de eventos puede evitar que se procese una solicitud de colgado.

Si un actor malicioso explotara esto, la persona al otro lado podría pensar que la llamada ha terminado, pero sus canales de video y audio (o ambos) podrían seguir abiertos.

La complejidad del ataque se considera baja según el CVE y, aunque el catálogo de vulnerabilidades explotadas conocidas de CISA no indica que esto haya sido detectado en el mundo real, los usuarios de Signal deben asegurarse de haber actualizado sus aplicaciones —móvil y escritorio— a las versiones más recientes para evitar quedar con el micrófono abierto sin previo aviso.

La comparación de RingRTC 2.72.0 con la versión anterior indica que la corrección de Signal permite que la máquina de estados finitos (FSM) de la llamada detecte las solicitudes de terminación independientemente de la cola de eventos, añadiendo además un tiempo de espera (timeout) para evitar que el procesamiento estancado bloquee indefinidamente el colgado.

No queda totalmente claro en las notas de lanzamiento de Signal cuándo llegó la versión corregida de RingRTC a las versiones de Android, iOS y escritorio de sus aplicaciones. El historial de lanzamientos de Signal Desktop indica que RingRTC 2.72.0 se incorporó en septiembre, pero las fechas precisas de despliegue en todas las plataformas siguen sin estar claras. Nos hemos puesto en contacto con Signal para obtener más información, pero no hemos recibido respuesta.

Mientras tanto, lo mejor es actualizar su instalación para asegurarse de que ya no es vulnerable. Eso, y cuidar lo que dice después de colgar una llamada. ®

Fuente:
TheRegister