Een lek in de RingRTC library van Signal zorgt ervoor dat de microfoon na het ophangen van een gesprek ingeschakeld blijft. Update 2.72.0 verhelpt het probleem.
In de populaire chatapp Signal is een kritieke kwetsbaarheid ontdekt die ervoor kan zorgen dat de microfoon, en mogelijk ook de camera, actief blijven nadat een telefoongesprek of videogesprek is beëindigd. Deze kwetsbaarheid, geregistreerd als CVE-2026-113380, bevindt zich in de RingRTC library die Signal gebruikt voor video- en spraakoproepen.
De RingRTC library is een middleware gebaseerd op WebRTC en verwerkt onder andere de gebeurtenissen die plaatsvinden tijdens een gesprek. Volgens de onderzoeker die het lek meldde, functioneert het ophangen van een gesprek niet als een effectieve 'kill switch'. Hierdoor kan een aanvaller die het slachtoffer belt de finite state machine (FSM) event queue overspoelen met ongeldige of overbodige data. Wanneer het slachtoffer vervolgens ophangt, wordt het ophang-event achteraan de queue geplaatst en nooit verwerkt. Dit resulteert erin dat de microfoon open blijft staan, wat een ernstige privacy- en beveiligingsrisico inhoudt.
De kwetsbaarheid heeft een hoge impactscore van 9.3 op de CVSS-schaal van 1 tot 10. Signal heeft het probleem opgelost door een update van de RingRTC library uit te brengen in versie 2.72.0. Deze update werd al in september uitgerold, maar het bestaan van de kwetsbaarheid is nu pas openbaar gemaakt.
