Lỗ hổng nghiêm trọng trong Signal cho phép kẻ gọi điện giữ cuộc gọi không thể kết thúc

Signal vừa khắc phục một lỗ hổng bảo mật mức độ nghiêm trọng cao, cho phép kẻ gọi điện độc hại giữ các luồng âm thanh và hình ảnh hoạt động ngay cả sau khi người dùng đã gác máy. Đây là vấn đề ảnh hưởng trực tiếp đến quyền riêng tư của hàng triệu người dùng ứng dụng nhắn tin mã hóa đầu cuối phổ biến này.

Minh họa ứng dụng nhắn tin và gọi điện mã hóa

Chi tiết lỗ hổng CVE-2026-113380

Lỗ hổng được theo dõi với mã CVE-2026-113380 và có điểm CVSS 9.3 — mức gần tối đa, phản ánh rủi ro rất cao. Đối tượng bị ảnh hưởng là RingRTC, thư viện mã nguồn mở mà Signal dùng cho các cuộc gọi thoại và video, được xây dựng trên nền tảng WebRTC.

Về nguyên nhân gốc rễ, lỗi này xuất phát từ cách RingRTC xử lý lệnh gác máy trong Finite State Machine (FSM) — cỗ máy trạng thái điều khiển vòng đời cuộc gọi:

• Lệnh gác máy không được coi là một "công tắc ngắt khẩn cấp" mà chỉ là một sự kiện được thêm vào hàng đợi sự kiện của FSM.
• Không có giới hạn tần suất đối với các sự kiện do phía bên kia gửi đến.
• Sự kiện gác máy không được ưu tiên so với các sự kiện khác.

Hệ quả là kẻ tấn công từ xa có thể làm ngập hàng đợi sự kiện bằng dữ liệu rác. Khi đó, lệnh gác máy bị "xếp hàng" phía sau vô số sự kiện độc hại và không bao giờ được xử lý.

Theo mô tả trên GitHub của một nhà nghiên cứu:

"Làm ngập hàng đợi bằng dữ liệu rác và lệnh gác máy sẽ chờ đằng sau tiếng ồn của kẻ tấn công mãi mãi, khiến cuộc gọi (micro, có thể cả camera) không bao giờ được đóng lại."

Nguy cơ đối với người dùng

Khai thác lỗ hổng này, kẻ tấn công có thể duy trì việc truyền âm thanh và hình ảnh từ thiết bị của nạn nhân — trong khi chính nạn nhân lại tin rằng mình đã kết thúc cuộc gọi. Đây là kiểu tấn công đặc biệt nguy hiểm vì nó không chỉ xâm phạm quyền riêng tư mà còn đánh lừa trực tiếp nhận thức của người dùng về trạng thái hoạt động của thiết bị.

Lỗ hổng ảnh hưởng đến quyền riêng tư cuộc gọi

Bản vá và khuyến nghị

Lỗ hổng đã được khắc phục trong RingRTC phiên bản 2.72.0, phát hành ngày 4 tháng 9. Signal đã xử lý bằng cách đảm bảo các yêu cầu kết thúc cuộc gọi không bị chặn trong hàng đợi sự kiện của FSM và được phát hiện một cách độc lập.

Thông tin chi tiết về lỗi và một chứng minh khái niệm (PoC) chỉ được công bố vào thứ Ba, cùng ngày NIST thêm CVE vào cơ sở dữ liệu NVD. Độ trễ này cho người dùng một khoảng thời gian để cập nhật trước khi kỹ thuật khai thác trở nên phổ biến.

Người dùng cần lưu ý:

• Cập nhật ứng dụng Signal lên phiên bản mới nhất càng sớm càng tốt.
• Nếu chưa thể cập nhật, hãy quan sát kỹ biểu tượng chỉ báo cuộc gọi đang diễn ra để đảm bảo cuộc gọi thực sự đã kết thúc chứ không chỉ hiển thị như vậy.
• Với người dùng tại Việt Nam — nơi Signal được nhiều người lựa chọn nhờ khả năng mã hóa mạnh mẽ và bảo vệ quyền riêng tư — việc cập nhật thường xuyên càng trở nên quan trọng khi các cuộc gọi công việc và cá nhân ngày càng phụ thuộc vào nền tảng này.

Sự cố một lần nữa cho thấy ngay cả những ứng dụng được thiết kế với tiêu chí bảo mật cao nhất cũng có thể gặp lỗi ở những lớp thư viện nền tảng, và việc duy trì thói quen cập nhật là tuyến phòng thủ đầu tiên của người dùng.

Logo SecurityWeek