Lỗ hổng nghiêm trọng CVE-2026-113380 trên Signal: Nguy cơ rò rỉ âm thanh sau khi kết thúc cuộc gọi

• Lỗ hổng định danh: CVE-2026-113380 với điểm CVSS 9.3 (Critical).
• Cơ chế tác động: Kẻ tấn công lợi dụng việc làm tràn hàng đợi sự kiện (event queue) để ngăn chặn quá trình ngắt kết nối cuộc gọi.
• Phạm vi ảnh hưởng: Các phiên bản RingRTC trước 2.72.0, ảnh hưởng đến tính năng thoại và video trên Signal.
• Khuyến nghị: Người dùng cần cập nhật ứng dụng lên phiên bản mới nhất ngay lập tức.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng nghiêm trọng trong thư viện RingRTC, thành phần cốt lõi điều khiển các tính năng gọi thoại và video trên ứng dụng Signal. Lỗ hổng này, được định danh là CVE-2026-113380, cho phép một đối tượng tham gia cuộc gọi độc hại có khả năng tiếp tục nghe âm thanh từ phía nạn nhân ngay cả sau khi nạn nhân đã thực hiện thao tác ngắt kết nối.

Phân tích kỹ thuật lỗ hổng CVE-2026-113380

Lỗ hổng này không nằm ở cơ chế mã hóa đầu cuối (End-to-End Encryption) của Signal, mà tập trung vào cách thức ứng dụng xử lý trạng thái kết thúc cuộc gọi. Vấn đề xuất phát từ cách thư viện RingRTC quản lý hàng đợi sự kiện (event queue) bên trong máy trạng thái hữu hạn (Finite-State Machine - FSM). FSM chịu trách nhiệm theo dõi trạng thái cuộc gọi và xử lý các lệnh điều khiển vận hành.

Khi một kẻ tấn công tham gia vào cuộc gọi, chúng có thể gửi một lượng lớn các yêu cầu để làm tràn hàng đợi sự kiện. Việc này gây ra tình trạng quá tải, khiến hệ thống không thể xử lý kịp thời các lệnh ngắt kết nối (hang-up) từ phía người dùng. Kết quả là, kết nối mạng vẫn duy trì trạng thái hoạt động, cho phép luồng âm thanh tiếp tục được truyền tải đến kẻ tấn công dù giao diện người dùng đã hiển thị trạng thái cuộc gọi đã kết thúc.

Bảng thông tin kỹ thuật

⚠️ Cảnh báo quan trọng: Mặc dù lỗ hổng này yêu cầu kẻ tấn công phải là một thành viên trong cuộc gọi, đây vẫn là một rủi ro bảo mật nghiêm trọng đối với các cuộc hội thoại nhạy cảm. Người dùng cần đặc biệt cảnh giác với các chỉ báo trạng thái micrô và camera trên thiết bị.

Cơ chế khắc phục và bản vá

Nhóm phát triển đã chính thức phát hành bản vá trong phiên bản RingRTC 2.72.0. Giải pháp kỹ thuật tập trung vào việc tách biệt quá trình kết thúc cuộc gọi khỏi hàng đợi sự kiện đang bị quá tải. Cụ thể, một cờ (flag) kết thúc riêng biệt đã được bổ sung, cho phép các máy trạng thái kết nối kiểm tra độc lập mà không phụ thuộc vào hàng đợi sự kiện.

Ngoài ra, bản cập nhật còn thiết lập giới hạn thời gian chờ 5 giây cho các tiến trình ngắt kết nối. Điều này đảm bảo rằng ngay cả khi các bước xử lý riêng lẻ thất bại, hệ thống vẫn có thể thực hiện dọn dẹp tài nguyên, đóng kết nối và tắt luồng âm thanh đầu ra một cách an toàn. Các nhà phát triển tích hợp RingRTC vào ứng dụng của họ cần nâng cấp lên phiên bản 2.72.0 hoặc cao hơn để đảm bảo an toàn.

Hướng dẫn phòng thủ cho người dùng

• Cập nhật ứng dụng: Kiểm tra và cập nhật ứng dụng Signal trên tất cả các thiết bị di động và máy tính cá nhân lên phiên bản mới nhất từ trang chủ chính thức hoặc kho ứng dụng uy tín.
• Kiểm tra chỉ báo phần cứng: Luôn chú ý đến đèn báo micrô hoặc camera trên thiết bị. Nếu các chỉ báo này vẫn sáng sau khi kết thúc cuộc gọi, hãy thực hiện khởi động lại ứng dụng hoặc thiết bị ngay lập tức.
• Thận trọng trong giao tiếp: Hạn chế chia sẻ thông tin nhạy cảm trong các cuộc gọi với người lạ hoặc các nhóm không xác định danh tính.

Thông tin chi tiết về lỗ hổng này có thể được tham khảo thêm tại các cơ sở dữ liệu lỗ hổng bảo mật uy tín như NVD hoặc các báo cáo từ CISA. Việc duy trì cập nhật phần mềm thường xuyên là biện pháp phòng thủ hiệu quả nhất trước các mối đe dọa khai thác lỗ hổng logic như CVE-2026-113380.