كُشِفَ مؤخرًا عن ثغرة حرجة تحمل المعرف CVE-2026-113380 في مكتبة RingRTC مفتوحة المصدر التابعة لتطبيق المراسلة المشفر Signal. هذه الثغرة، التي حصلت على درجة خطورة 9.3 في مقياس CVSS، قد تمنع إنهاء المكالمة بشكل صحيح، مما يؤدي إلى بقاء قنوات الصوت وربما الفيديو نشطة حتى بعد أن يعتقد المستخدم أن المكالمة قد انتهت.
كيف تعمل الثغرة؟
مكتبة RingRTC هي مكتبة Signal الخاصة بالمكالمات، وهي مبنية على تقنية WebRTC المستخدمة على نطاق واسع للاتصالات الصوتية والمرئية عبر الإنترنت. تكمن المشكلة في أن مهاجمًا قادرًا على إغراق قائمة أحداث «آلة الحالات المحدودة» (FSM) الخاصة بـ RingRTC بطلبات متكررة يمكنه منع معالجة طلب إنهاء المكالمة. يصنف هذا العيب ضمن CWE-754، الذي يشير إلى الفحص غير السليم للظروف غير العادية أو الاستثنائية. يتوفر دليل على المفهوم عبر سكريبت بايثون يوضح كيف يمكن أن يؤدي إغراق قائمة الأحداث إلى تعطيل طلب الإنهاء.
الهجوم يُعتبر منخفض التعقيد، ورغم أن كتالوج الثغرات المستغلة المعروفة من CISA لم يشر إلى استغلال هذه الثغرة في الواقع، إلا أن الخطورة تكمن في أن المستخدم قد يتحدث أو يكشف معلومات حساسة بعد تعليق المكالمة، معتقدًا أنها انتهت، بينما ميكروفونه أو كاميرته لا يزالان مفتوحين.
ما الحل وماذا يعني هذا للمطورين؟
أصدرت Signal تحديثًا للمكتبة تحت الإصدار 2.72.0 الشهر الماضي لمعالجة هذه المشكلة. يعالج التحديث الثغرة عن طريق السماح لآلة الحالات المحدودة (FSM) باكتشاف طلبات الإنهاء بشكل مستقل عن قائمة الأحداث، مع إضافة مهلة لمنع التعليق اللانهائي لمعالجة إنهاء المكالمة. على الرغم من أن RingRTC 2.72.0 قد تم دمجه في إصدار Signal Desktop في سبتمبر، إلا أن التواريخ الدقيقة لطرح التحديث عبر جميع المنصات (أندرويد و iOS وسطح المكتب) غير واضحة تمامًا.
بالنسبة للمستخدمين، نرى أن الأولوية القصوى هي تحديث تطبيقات Signal الخاصة بهم على جميع الأجهزة إلى أحدث إصدار متاح لضمان الحماية. أما بالنسبة للمطورين الذين يعملون على تطبيقات اتصال تعتمد على WebRTC أو يطورون مكتبات مشابهة، فإن هذه الثغرة تسلط الضوء على الأهمية الحاسمة لإدارة حالة الاتصال بدقة وتضمين آليات حماية قوية ضد إغراق قائمة الأحداث، وكذلك آليات للكشف المستقل عن إنهاء الاتصال. إنه تذكير بأن حتى المكتبات التي تبنى فوق تقنيات مشفرة وموثوقة تحتاج إلى فحص دقيق لجميع السيناريوهات المحتملة.
المصدر: theregister.com