Signalの脆弱性、悪意ある発信者が通話終了を妨害可能に

Signalは、悪意ある発信者がユーザーの通話終了後も音声・映像トラックを有効にしたままにできる、重大な脆弱性を修正しました。

この脆弱性は「CVE-2026-113380」として追跡されており（CVSSスコアは9.3）、Signalが音声・ビデオ通話に使用するオープンソースライブラリ「RingRTC」に影響します。RingRTCはWebRTCをベースにしています。

この問題により、リモートのピアが通話の有限状態機械（FSM）のイベントキューに無用なデータを大量に送り込み、通話を終了できない状態にすることが可能でした。

原因は3点あります。通話終了（ハングアップ）が強制終了の仕組みとして扱われず、FSMのイベントキューに追加される一つのイベントにすぎなかったこと、ピア由来のイベントにレート制限がなかったこと、そしてハングアップのイベントに優先度が設定されていなかったことです。

ある研究者がGitHubに公開した解説資料には、次のように記されています。「キューに無用なデータを溢れさせると、ハングアップは攻撃者のノイズの後ろで永遠に待たされ、通話（マイク、場合によってはカメラ）が切断されることはない」

この脆弱性を悪用すれば、被害者が通話を終了したと思っている間も、攻撃者は標的のデバイスから音声・映像トラックを流し続けさせることができました。

この脆弱性は、9月4日にリリースされたRingRTCのバージョン2.72.0で修正されました。

ただし、この欠陥の詳細は、概念実証（PoC）コードとともに火曜日に公開されました。NISTも同じ火曜日に、このCVEをNVDデータベースに追加しています。

Signalは、通話の終了要求がFSMのイベントキュー内で滞留しないようにし、独立して検知される仕組みにすることで、この問題を解決しました。

ユーザーはできるだけ早くSignalアプリを更新してください。更新できない場合は、通話インジケーターを確認し、通話が確実に終了したかを確かめる必要があります。