В десктопной версии мессенджера Signal были обнаружены две уязвимости.
Учитывая, что у Signal общая кодовая база для всех ОС, то эти уязвимости есть на Windows, MacOS и Linux.
Подробно о том, чем опасны уязвимости, рассказали в блоге «Лаборатории Касперского».
Первая уязвимость CVE-2023-24069 заключается в работе с файлами. Десктопный клиент сохраняет файлы из чатов в локальной директории.
Если файл удалить в чате, то он исчезнет и из директории. Если его переслать в другой чат, то файл останется.
При этом Signal шифрует только сообщения, а файлы сохраняются в небезопасном виде. Поэтому, если злоумышленник имеет доступ к устройству, то он сможет просматривать файлы, отправленные через мессенджер.
Вторая уязвимость CVE-2023-24068 заключается в том, что файлы после отправки можно подменять.
Имея доступ к чужому устройству с установленным мессенджером, мошенник может подменить файл или модифицировать его, добавив вредоносный скрипт. Таким образом, при пересылке файла, зловред будет распространяться на другие устройства.
Эксперты отмечают, что в обоих случаях необходимо иметь доступ к компьютеру. Однако данный сценарий вполне реален, если компьютер был ранее заражен зловредом, позволяющим проводить манипуляции с файлами.
Для защиты от данных уязвимостей рекомендуется не использовать Signal на компьютере.
Если он необходим, то эксперты советуют ввести полнодисковое шифрование, приучить сотрудников не оставлять незалоченный компьютер без присмотра, а также использовать защиту устройства от несанкционированного доступа.
