Una vulnerabilidad en Signal permite a los usuarios malintencionados bloquear las llamadas cortadas
Signal ha solucionado un fallo de seguridad crítico que posibilitaba que un interlocutor malintencionado mantuviera activos los canales de voz y video a pesar de que el usuario hubiera finalizado la llamada. Esta falla, identificada con un código específico y una alta puntuación de gravedad, afecta a la biblioteca de código abierto empleada para las llamadas de audio y video en la plataforma, la cual está basada en WebRTC.
El problema ocurría porque un extremo remoto podía saturar la cola de eventos del sistema de la llamada con elementos innecesarios, impidiendo que esta se cerrara. Esto sucedía debido a que la acción de colgar no funcionaba como un interruptor de apagado definitivo, sino que se trataba simplemente como un evento más dentro de la cola, careciendo de prioridad y de un límite de velocidad para los eventos provenientes del otro participante, lo que provocaba que la transmisión de audio y video continuara sin que la víctima lo notara.
La vulnerabilidad quedó solucionada mediante una actualización de la biblioteca afectada, asegurando que las solicitudes para finalizar las llamadas ya no queden bloqueadas y sean identificadas por separado. Como recomendación, se aconseja a los usuarios actualizar la aplicación a la brevedad y verificar el indicador de llamadas para cerciorarse de que estas realmente hayan concluido.