Selamlar,
Signal, kötü niyetli bir arayanın, kullanıcı aramayı kapattıktan sonra bile ses ve video akışını açık tutmasına izin verebilen kritik bir açığı kapattı. CVE-2026-113380 (CVSS 9.3) olarak izlenen açık, Signal'in sesli/görüntülü aramalarda kullandığı açık kaynaklı RingRTC kütüphanesini etkiliyor. SecurityWeek konuyu aktardı. Bu, "kapat" düğmesinin neden her zaman garanti olmadığını gösteren öğretici bir örnek. Burada açığı ve kullanıcı önlemlerini ele alıyorum.
Konuda anlatılacaklar
- Açık ne yapıyor?
- Teknik neden: FSM kuyruğu
- Etkilenen ve düzeltilmiş sürümler
- Gerçek dünya riski
- Kullanıcı önlemleri
1. Açık ne yapıyor?
Normalde aramayı kapattığınızda mikrofon ve kamera kapanır. Bu açıkta uzaktaki bir katılımcı, aramanın olay kuyruğunu doldurarak kapatma işlemini sonsuza dek bekletebiliyor. Sonuç: kullanıcı aramayı bitirdiğini sanırken ses (ve muhtemelen video) akmaya devam ediyor.
2. Teknik neden
RingRTC, aramayı WebRTC tabanlı bir Sonlu Durum Makinesi (Finite State Machine, FSM) ile yönetiyor. GitHub yazısına göre sorun üç eksiklikten kaynaklanıyor:
- Kapatma (hangup), bir "öldür" anahtarı gibi değil, FSM olay kuyruğuna eklenen sıradan bir olay olarak ele alınıyordu.
- Uzak taraftan gelen olaylar için hız sınırı (rate limit) yoktu.
- Kapatma olayının önceliği yoktu.
3. Etkilenen ve düzeltilmiş sürümler
Açık RingRTC 2.72.0 ile (4 Eylül'de yayımlandı) giderildi. GHSA kaydına ve haberlere göre etkilenen uygulama sürümleri:
Kod:
Android : 8.27.0 öncesi
iOS : 8.30.0 öncesi
Desktop : 8.29.0 öncesi4. Gerçek dünya riski
Saldırganın, aramayı kabul ettiğiniz bir kişi olması gerektiği için risk, rastgele herkese açık değil. Ancak hedefli gözetim senaryolarında ciddi bir gizlilik tehdidi: kurban aramayı bitirdiğini düşünürken ortam sesi dinlenmeye devam edebilir.
5. Kullanıcı önlemleri
- Signal'i tüm cihazlarınızda hemen güncelleyin. Android 8.27.0+, iOS 8.30.0+, Desktop 8.29.0+ hedefleyin.
- Arama göstergesini kontrol edin. Güncelleyemiyorsanız, kapattıktan sonra aramanın gerçekten bittiğini (gösterge, mikrofon ikonu) doğrulayın.
- Şüpheli kişilerden arama kabul etmeyin. Saldırı, karşı tarafın aramada olmasını gerektiriyor.
- Hassas görüşmelerde uygulama tamamen kapanana kadar ortam güvenliğine dikkat edin.
Sonuç
Bu açık, "kullanıcı kapattı" ile "sistem gerçekten kapattı" arasındaki farkın güvenlik açısından ne kadar kritik olabileceğini gösteriyor. Kapatma, bir olay değil, öncelikli bir kesme (interrupt) olmalıydı. Signal uygulamalarınızı güncel tutuyor musunuz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar