Una vulnerabilidad en RingRTC, la biblioteca que utiliza Signal para las llamadas de voz y vídeo, podría permitir que un participante malicioso siguiera recibiendo audio después de que otro usuario intentara colgar. El problema afecta al cierre de la comunicación y está corregido desde RingRTC 2.72.0.
📌 En resumen
- El ataque requiere que una persona maliciosa participe en la llamada.
- El fallo afecta a la desconexión y no supone una ruptura del cifrado.
- Los usuarios deben actualizar Signal; los desarrolladores, revisar la versión de RingRTC que integran.
Qué ocurre cuando Signal intenta finalizar la llamada
El problema está identificado como CVE-2026-113380 y afecta a RingRTC anterior a la versión 2.72.0. Su registro público recoge una puntuación de gravedad CVSS 4.0 de 9,3 sobre 10.
Según la descripción de la vulnerabilidad, un participante remoto puede saturar una cola interna de eventos e interferir con el procesamiento de la orden local de colgar.
Esa cola organiza las instrucciones que controlan el estado de la llamada. Si la desconexión no se completa correctamente, la comunicación podría continuar transmitiendo audio pese al intento del usuario de terminarla.
El aviso también contempla que el vídeo permanezca activo, pero lo presenta como una posibilidad, no como un comportamiento confirmado.
El ataque requiere participar en la comunicación
El escenario descrito exige un participante malicioso dentro de la llamada. No se presenta como una técnica para activar a distancia el micrófono de cualquier usuario de Signal.
La información publicada tampoco determina qué mostraría la aplicación en pantalla ni cuánto tiempo podría continuar la transmisión no deseada.
El problema afecta al funcionamiento del cierre, no al cifrado de las conversaciones. Una conexión cifrada puede seguir transportando audio si el programa no la termina cuando corresponde.
Cómo refuerza RingRTC el proceso de desconexión
El parche publicado en el repositorio oficial de RingRTC incorpora una señal de terminación independiente de la cola de eventos.
Esto permite que los componentes encargados de gestionar la llamada comprueben que deben finalizarla incluso cuando la cola está saturada.
La corrección también añade límites de cinco segundos en determinadas esperas de cierre, de modo que las tareas de desconexión y limpieza puedan continuar si un paso queda bloqueado.
Qué deben actualizar los usuarios de Signal
Los usuarios deben instalar las actualizaciones disponibles de Signal en sus teléfonos y ordenadores. Los desarrolladores que integren esta biblioteca deben utilizar RingRTC 2.72.0 o una versión posterior.
La numeración de RingRTC no coincide con la de Signal. La información revisada no identifica la primera versión de la aplicación que incorpora el arreglo en cada plataforma, por lo que no permite ofrecer una lista precisa de versiones corregidas para Android, iOS y escritorio.
Las fuentes consultadas no documentan casos de explotación contra usuarios. Esa ausencia de casos conocidos no elimina la necesidad de mantener actualizadas todas las instalaciones de la aplicación.
Comentarios
Publicar un comentario
Sé respetuoso con los demás usuarios y no utilices lenguaje ofensivo o discriminatorio.