Signal: Kritische Lücke ließ Mikro und Kamera nach Anrufen an

Signal hat eine kritische Lücke beim Beenden von Anrufen geschlossen, die dazu führen konnte, dass das Mikrofon und die Kamera nach dem Auflegen nicht ausgeschaltet wurden. Das Audiosignal ließ sich so theoretisch weiterhin übertragen. Ein Update für die Android-App, das die Lücke schließt, steht bereits zur Verfügung.

Ereigniswarteschlange überlastet

Die Schwachstelle trägt die Kennung CVE-2026-113380 und gilt mit einem CVSS-Wert von 9,3 als kritisch. Betroffen ist die Open-Source-Bibliothek RingRTC, die Signal für Sprach- und Videofunktionen nutzt. Demnach war es einem Angreifer möglich, die interne Ereignis­warte­schlange mit einer Vielzahl von Anfragen zu überlasten, was dazu führte, dass das Beenden des Gesprächs blockiert wurde. So ließ sich das Audiosignal weiterhin übertragen, worauf der Nutzer, der das Gespräch beendet hat, gegebenenfalls nur durch den Hinweis in der Statusleiste von Android auf den Zugriff auf das Mikrofon durch Signal noch aufmerksam gemacht wurde. Der Fehler ermöglichte kein Auslesen von Passwörtern oder Chatverläufen.

Nur unter Android reproduzierbar

Um die Schwachstelle auszunutzen, müsste der Angreifer somit zunächst einen aktiven Anruf mit dem betroffenen Nutzer haben. Dies ist bei Signal nur zwischen bekannten Kontakten mit akzeptierter Nachrichten­anfrage oder gemeinsamem Gruppenchat möglich. Ein unbekannter Nutzer kann keinen Anruf auslösen. Laut Signal ließ sich das Verhalten ausschließlich unter Android reproduzieren, obwohl die betroffene Bibliothek auch in den Signal-Apps für iOS und Desktop-PCs genutzt wird. Berichte über das aktive Ausnutzen der Schwachstelle gibt es bislang nicht.

Update schließt die Lücke

Signal hat die fehlerhafte Bibliothek inzwischen aktualisiert und mit Version 8.27 der Signal-App vom 9. September ein Update für Android ausgeliefert. Inzwischen ist bereits Version 8.33 verfügbar. Der Auflege-Befehl bei Anrufen wird nun unabhängig von der Ereignis­warte­schlange verarbeitet, so dass er nicht mehr blockiert werden kann. Signal empfiehlt, die verfügbaren Updates auf allen Plattformen zu installieren, sofern noch nicht automatisch aktualisiert.