Kritiek Signal-lek houdt microfoon ingeschakeld na ophangen van gesprek

In dit artikel:

Een kritieke kwetsbaarheid in de RingRTC-bibliotheek van chatapp Signal kon ervoor zorgen dat de microfoon en mogelijk de camera na het beëindigen van een telefoon- of videogesprek actief bleven. De fout kreeg een CVSS-score van 9,3 op 10 en kon worden misbruikt door een aanvaller die het slachtoffer belde.

De aanvaller kon de event queue van de finite state machine, die gespreksgebeurtenissen verwerkt, overspoelen met ongeldige of overbodige gebeurtenissen. Daardoor belandde het ophangevent achteraan in de wachtrij en werd het mogelijk niet verwerkt, waardoor de microfoon open bleef staan. Signal heeft het probleem, geregistreerd als CVE-2026-113380, opgelost in RingRTC-versie 2.72.0. Die versie werd al in september uitgerold; de kwetsbaarheid is pas later openbaar gemaakt.