Опубликован эксплоит для внедрения кода в Signal для Windows и Linux

В минувшие выходные ИБ-специалист из Арентины Альфредо Ортега (Alfredo Ortega) анонсировал в своем Twitter скорую публикацию детальной информации об уязвимости в десктопном клиенте мессенджера Signal. Тогда Ортега обнародовал видео с демонстрацией атаки, на котором полезная javascript нагрузка, переданная через Signal, успешно выполнялась на устройстве получателя. Ролик можно увидеть ниже.

Теперь, как и было обещано ранее, группа аргентинских ИБ-экспертов, во главе с Ортегой, обнародовала подробности представленного на видео бага и опубликовала proof-ofconcept эксплоит. Как оказалось, уязвимость позволяла внедрить вредоносный код в Signal, просто прислав жертве специальную ссылку. Никакого взаимодействия с пользователем при этом не требовалось.

Исследователи рассказали, что обнаружили проблему случайно, когда сами общались через Signal, и один из участников беседы поделился ссылкой на уязвимый сайт с XSS-пейлоадом в URL. Полезная нагрузка неожиданно выполнилась в десктопном клиенте Signal, что не могло не привлечь внимание специалистов.

Изучив проблему и протестировав в Signal другие XSS, исследователи пришли к выводу, что баг связан с обработкой ссылок, которыми делятся пользователи. Проблема позволяла внедрить в приложение заданный пользователем HTML/JavaScript код, посредством iFrame, image, video и audio тегов.

Используя такую технику атак, злоумышленник мог, к примеру, внедрить в окно чата реципиента форму ввода учетных или платежных данных и, применив социальную инженерию, вынудить жертву предоставить конфиденциальную информацию. Хотя ранее звучали предположения о том, что данная уязвимость в Signal может быть использована для выполнения системных команд и извлечения, например, ключей шифрования, эти теории, к счастью, не подтвердились.

Разработчики Signal устранили баг сразу же, после того как Ортега опубликовал proof-of-concept видео в своем микроблоге. В своем отчете исследователи отмечают, что данное исправление уже присутствовало в более ранних версиях десктопного Signal, однако по какой-то причине пропало после обновления, датированного 10 апреля 2018 года.