Błąd w aplikacji Signal pozwala na zdalne włączenie mikrofonu

Udostępnij:

O autorze

Bolesław Breczko

@breczko

Błąd logiczny w aplikacji Signal na system Android pozwala na zdalne włączenie mikrofonu bez udziału ani wiedzy użytkownika. Podatność została załatana w wersji z 28 września 2019. Zalecana jest jak najszybsza aktualizacja aplikacji.

Błąd pozwala atakującemu na podsłuchanie aktualnie prowadzonej rozmowy telefonicznej poprzez połączenie się z urządzeniem ofiary i natychmiastowe, automatyczne odebranie nowego połączenia. Dzieje się to bez udziału użytkownika.

Podatność dotyka jedynie użytkowników Signal na systemie Android i tylko w przypadku połączeń głosowych przez aplikację. Połączenia wideo są bezpieczne, bo wymagają dodatkowej akcji od użytkownika.

Aplikacja Signal daje możliwość szyfrowania wysyłanych wiadomości tekstowych end-to-end pomiędzy urządzeniami. Dzięki temu jest często wykorzystywana przez ekspertów z dziedziny bezpieczeństwa, a także dziennikarzy, sygnalistów i opozycjonistów opresyjnych rządów.