Por Canuto  

Una vulnerabilidad crítica en la biblioteca de llamadas de Signal podía bloquear la orden de colgar y dejar potencialmente activos el micrófono y la cámara. La corrección llegó con RingRTC 2.72.0, aunque no está claro cuándo se incorporó a todas las versiones de la aplicación.
***

  • El fallo, identificado como CVE-2026-113380, obtuvo una puntuación CVSS de 9,3 y afectaba a RingRTC en versiones anteriores a la 2.72.0.
  • Un participante podía saturar la cola de eventos de la llamada e impedir que la aplicación procesara correctamente la solicitud de colgar.
  • Signal corrigió el problema con una gestión independiente de las solicitudes de terminación y un tiempo de espera; se recomienda actualizar la aplicación.

 

Un fallo en el cierre de las llamadas

Una vulnerabilidad en la biblioteca de llamadas de Signal podía hacer que una llamada no terminara correctamente, incluso después de que una de las personas creyera haber colgado. En esas circunstancias, el audio y posiblemente el video podían permanecer activos, una posibilidad que convierte un error de funcionamiento en un riesgo directo para la privacidad de quienes usan la aplicación.

El problema, identificado como CVE-2026-113380, recibió una puntuación CVSS de 9,3, considerada crítica, y afectaba a RingRTC en todas las versiones anteriores a la 2.72.0. MITRE publicó el registro el martes 20 de octubre de 2026, mientras que la corrección ya se había difundido el mes anterior; la divulgación pública del fallo llegó después de que esa versión corregida estuviera disponible.

RingRTC es la biblioteca de Signal dedicada a las llamadas y está construida sobre WebRTC, una tecnología introducida en 2011 que permite comunicaciones de voz y video por internet. WebRTC cifra el tráfico multimedia, según el reporte, pero ese cifrado no evita que la biblioteca falle al gestionar el cierre de una llamada si se producen determinadas condiciones.

La distinción importa porque la vulnerabilidad no se describe como una ruptura del cifrado del contenido, sino como un error en el procesamiento de eventos que controlan la llamada. Si la orden de colgar no se ejecuta, la persona que terminó la conversación podría asumir que la conexión ya se cerró cuando, en realidad, sus canales de audio o video todavía podrían seguir abiertos.

Cómo podía trabarse la orden de colgar

El reporte técnico atribuye el fallo a la cola de eventos de la máquina de estado finito, o FSM, que RingRTC utiliza para administrar las distintas etapas de una llamada. Si una de las personas enviaba suficientes solicitudes para saturar esa cola, la máquina podía quedar sobrecargada y no procesar a tiempo la petición que debía terminar la comunicación.

En términos sencillos, la llamada podía quedar atrapada atendiendo una acumulación de eventos, mientras la orden de desconexión esperaba su turno. No se trataba, según la descripción del problema, de que colgar fuera imposible en cualquier circunstancia, sino de que una cola saturada podía impedir que la aplicación manejara correctamente esa instrucción.

La vulnerabilidad fue clasificada como CWE-754, una categoría asociada con la comprobación inadecuada de condiciones inusuales o excepcionales. La clasificación apunta al modo en que el software responde ante un escenario fuera de lo normal: si la cola recibe más eventos de los que puede gestionar de forma adecuada, el proceso de cierre puede fallar en vez de recuperarse de manera segura.

El informe alojado en GitHub incluye una prueba de concepto conceptual, con un script de Python que simula cómo inundar la cola de eventos y evitar que se procese la solicitud de colgar. Ese ejemplo ilustra el mecanismo descrito, pero la información disponible no afirma que la prueba haya sido utilizada en ataques reales ni que permita concluir que usuarios específicos hayan sufrido una exposición.

La corrección y las medidas para usuarios

La puntuación de 9,3 y la baja complejidad de explotación señalada en el registro justifican que los usuarios presten atención a la actualización, aunque no hay constancia en el catálogo de vulnerabilidades explotadas conocidas de CISA de que el fallo se haya detectado en la naturaleza. Esa ausencia en el catálogo no demuestra por sí sola que ningún intento haya ocurrido, pero la fuente no reporta explotación confirmada.

La solución introducida en RingRTC 2.72.0 permite que la máquina de estado finito detecte las solicitudes de terminación sin depender de la cola de eventos. Además, incorpora un tiempo de espera para impedir que un procesamiento estancado bloquee indefinidamente el cierre, de modo que la orden de colgar pueda seguir adelante incluso si la gestión de eventos enfrenta problemas.

El historial de versiones de Signal Desktop indica que RingRTC 2.72.0 se integró en septiembre, pero las notas de lanzamiento no permiten establecer con claridad cuándo llegó la corrección a las aplicaciones de Android, iOS y escritorio. Por eso, el momento exacto de implementación en cada plataforma sigue sin estar claro, aunque la versión corregida de la biblioteca ya se había publicado.

The Register informó que se puso en contacto con Signal para solicitar más detalles, pero que todavía no había recibido respuesta al momento de publicar su nota. Mientras tanto, la recomendación práctica es instalar la versión más reciente de Signal en los dispositivos móviles y de escritorio, y no asumir que una llamada terminó hasta confirmar que la aplicación la cerró correctamente.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados