SecurityWeek ha revelado una vulnerabilidad crítica (CVSS 9.3) en la biblioteca de llamadas de Signal, RingRTC. Un atacante que inicia una llamada puede inundar la cola de eventos del FSM, impidiendo que los eventos de colgado sean procesados. El usuario cree que la conversación terminó, pero el micrófono y la cámara siguen transmitiendo datos. La falla, catalogada como CVE-2026-113380, se solucionó en RingRTC 2.72.0, aunque el PoC ya estaba disponible desde el 22 de octubre.

Qué sabemos

Según el informe de SecurityWeek, la vulnerabilidad radica en la ausencia de limitación de velocidad para eventos originados por el peer y en la falta de prioridad para los eventos de colgado. Un atacante puede generar una gran cantidad de eventos que saturan la cola del FSM, bloqueando indefinidamente los eventos de terminación de la llamada. La consecuencia directa es que la víctima sigue enviando audio y video aunque crea haber colgado.

El problema afecta a todas las versiones de Signal que utilicen RingRTC anterior a la 2.72.0, lo que incluye la gran mayoría de usuarios en LATAM y el resto del mundo. Dado que Signal es una de las aplicaciones de mensajería cifrada más usadas por periodistas, activistas y profesionales de seguridad, la exposición es significativa.

Análisis técnico

El vector de ataque se basa en la manipulación del Finite State Machine (FSM) que gestiona los eventos de la llamada. El atacante, una vez conectado como llamante, envía una ráfaga de eventos de tipo peer-originated sin ninguna restricción de tasa. Estos eventos se encolan antes que los eventos de hangup, que no poseen prioridad, lo que provoca que la cola nunca procese el cierre de la sesión.

Los TTPs (Tácticas, Técnicas y Procedimientos) observados son:

  • Abuso de la lógica de eventos internos (T1059 - Command and Scripting Interpreter, en el contexto de eventos internos).
  • Persistencia de la transmisión de medios después del cierre aparente (T1071 - Application Layer Protocol).
  • Exfiltración de audio y video sin el conocimiento del usuario (T1020 - Automated Exfiltration).

El impacto es alto: la vulnerabilidad permite la vigilancia continua de objetivos de alto valor sin que estos detecten la intrusión. Además, al no requerir privilegios especiales, cualquier atacante con capacidad de iniciar una llamada puede explotarla.

Qué deben hacer los equipos de seguridad

  • Actualizar inmediatamente a RingRTC 2.72.0 o versiones posteriores en todas las aplicaciones que integren la biblioteca.
  • Implementar controles de tasa (rate limiting) para eventos originados por el peer en cualquier solución de VoIP propia.
  • Revisar los logs de llamadas en busca de patrones de eventos anómalos, como una alta frecuencia de eventos justo antes de un hangup.
  • Comunicar a los usuarios la necesidad de actualizar la aplicación Signal y verificar que la versión instalada sea la más reciente.
  • Considerar la monitorización de la actividad de la cámara y micrófono mediante herramientas de EDR que detecten uso prolongado sin interacción del usuario.
Fuente: SecurityWeek