Windows和Linux信号消息应用程序中发现严重错误

该漏洞是由阿根廷软件安全顾问阿尔弗雷多·奥尔特加发现的，几个小时前，Twitter上发布了一段概念验证视频，展示了通过桌面应用程序信号发送的javascript负载如何在接收者的系统上成功执行。

尽管到目前为止，该漏洞的技术细节尚未披露，但问题似乎是Signal中的远程代码执行漏洞，或者至少是非常接近持久性跨站点脚本（XSS）的漏洞，最终可能允许攻击者将恶意代码注入目标Windows和Linux系统。

“目前，我们只能确认javascript代码的执行情况。不过，我们正在跟踪一个堆损坏问题，很可能javascript执行会导致本机代码执行，需要进一步研究。”奥尔特加告诉黑客新闻。

奥尔特加还向我们证实，要利用这个问题，需要将来自阿根廷的另外两名安全研究人员伊万和朱利亚诺发现的几个漏洞链接起来。

伊万说：“我可以确认，这个错误以前不存在，上次引入是因为开发人员忘记了为什么一开始就有一个正则表达式。如果这个问题不再出现，我想推荐一个评论（待定）”。

目前，尚不清楚主要漏洞或其他链式漏洞是否仅存在于Signal的源代码中，或者也存在于流行的Electron web应用程序框架中，Signal桌面应用程序所基于的技术。
如果该漏洞存在于Electron框架中，它还可能影响其他广泛使用的桌面应用程序，包括Skype、Wordpress和Slack，它们也使用相同的框架。

此外，信息安全社区还担心，如果该漏洞允许远程攻击者窃取他们的秘密加密密钥，这将是信号用户最可怕的噩梦。
好消息是，Open Whisper Systems已经解决了这个问题，并在收到研究人员披露的负责任的漏洞后数小时内立即发布了新版本的Signal app。

触发代码执行的主要漏洞已在Signal stable发行版1.10.1和预发行版1.11.0-beta中修补。3.因此，建议用户尽快更新桌面应用程序的信号。

奥尔特加告诉《黑客新闻》：“目前我们还不确定它们（链接在一起的漏洞）是否都已修复”。

最新版本还修补了桌面应用程序Signal for desktop应用程序最近披露的一个漏洞，该漏洞暴露了macOS通知中心用户可读数据库中消失的消息，即使这些消息已从应用程序中删除。

一旦我们从研究人员那里获得更多关于该漏洞的详细信息，我们将立即更新本文。在此之前，请继续关注Facebook和Twitter账户。