Signal의 통화 라이브러리 RingRTC에 통화 종료 요청을 처리하지 못하게 해 통화가 끝난 뒤에도 오디오나 비디오가 계속 활성화될 수 있는 취약점이 발견됐다. RingRTC 2.72.0보다 이전 버전을 쓰는 Signal 이용자는 모바일과 데스크톱 앱을 최신 버전으로 업데이트해야 한다.
취약점은 CVE-2026-113380으로 등록됐으며 CVSS 점수는 9.3이다. MITRE는 이를 Signal의 오픈소스 RingRTC 라이브러리에서 발견된 치명적 문제로 분류했다. RingRTC 2.72.0 업데이트는 지난달 배포됐지만 취약점은 이제 공개됐다.
공격자는 통화 관리에 필요한 이벤트를 처리하는 유한 상태 기계(FSM)의 대기열에 요청을 몰아넣을 수 있다. 대기열이 과부하되면 통화 종료 요청이 처리되지 않을 수 있으며, 상대방은 통화가 끝났다고 생각해도 한쪽 또는 양쪽의 오디오·비디오 채널이 열려 있을 수 있다. CVE는 공격 복잡도를 낮음으로 평가했다. CISA의 알려진 악용 취약점 목록에는 실제 공격 사례가 보고되지 않았다.
취약점 보고서에는 이벤트 대기열을 넘치게 해 종료 요청 처리를 막는 과정을 모의하는 개념 증명용 Python 스크립트가 담겼다. 취약점은 예외적 조건을 제대로 확인하지 않는 문제인 CWE-754로 분류됐다.
RingRTC 2.72.0의 변경 내역과 이전 버전의 비교 자료에 따르면, 수정 사항은 이벤트 대기열과 별도로 FSM이 종료 요청을 감지하게 하고 처리 지연이 종료를 무기한 막지 않도록 시간 제한을 추가했다.
Signal의 릴리스 노트만으로는 수정된 RingRTC가 Android, iOS, 데스크톱 앱에 각각 언제 적용됐는지 분명하지 않다. Signal Desktop의 릴리스 기록에는 2.72.0이 9월에 포함된 것으로 나타나지만, 다른 플랫폼의 정확한 배포 시점은 확인되지 않았다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요