Signal, la considerada como una de las aplicaciones de mensajería más seguras, ha sufrido un nuevo revés. Se trata del segundo en apenas unos días. Una de sus utilidades es la de permitir que el receptor solo pueda abrir el mensaje si dispone de una clave. Pero parece, en vistas de las últimas noticias, que no es tan seguro. Al menos su versión de escritorio, en la que han encontrado dos vulnerabilidades de seguridad en apenas una semana.

Dos vulnerabilidades en Signal en una semana

Hace unos días, los investigadores de seguridad encontraron una vulnerabilidad grave en esta aplicación. Este error permitía a posibles atacantes remotos ejecutar código malicioso en el sistema de destinatarios. Para ello simplemente tenían que enviar un mensaje y no requería ningún tipo de interacción por parte del usuario.

Los investigadores hicieron la prueba enviando una carga de JavaScript a través de la versión de escritorio de Signal. Lograron ejecutarlo de forma exitosa en la víctima.

Desde la compañía rápidamente abordaron el problema. No tardaron en sacar actualizaciones para paliar estas vulnerabilidades. Los usuarios que quisieran protegerse tenían que instalar estos parches lo antes posible. Concretamente quedó corregido con la versión estable 1.10.1 y también, en su momento, en la versión Beta 1.11.0.

Estas versiones, además, también corregía el error que provocaba que no se borraran correctamente los mensajes en MacOS.

Nueva vulnerabilidad descubierta

Pero parece que los problemas para Signal no acaban aquí. Ha vuelto a salir a la luz una nueva vulnerabilidad que afecta a la versión de escritorio. Otra vez los usuarios van a tener que actualizar la versión.

Se trata de una amenaza muy similar a la que comentábamos anteriormente. Este fallo permite a los atacantes inyectar código malicioso de forma remota en la versión de escritorio. Todo ello simplemente a través de un mensaje que envíen.

La diferencia reside en que la primera vulnerabilidad afectaba a la función que controla los enlaces compartidos en el chat y en esta ocasión se trata de la función que maneja la validación de los mensajes que citan mensajes anteriores en una respuesta.

Básicamente lo que tiene que hacer el atacante es enviar un código HTML/JavaScript malicioso como mensaje a la víctima  para posteriormente citar o responder ese mismo mensaje con cualquier texto. Una vez la víctima recibe este mensaje, se ejecuta. No requiere de ningún tipo de interacción.

Lógicamente con esta vulnerabilidad Signal pierde todo su propósito de ser una aplicación de mensajería cifrada de extremo a extremo. Los posibles atacantes externos podrían obtener fácilmente el control de las conversaciones en texto plano.

Versión 1.11.0

Por suerte, una vez más, los responsables de Signal han lanzado una nueva versión para corregir esta vulnerabilidad. Esta vez se trata de la 1.11.0, en su edición definitiva. Signal cuenta con un mecanismo de actualización automático. Sin embargo, por si acaso, los usuarios deberían de confirmar que cuentan con esta última versión y, de no ser así, actualizar.

En definitiva, han descubierto dos vulnerabilidades graves en Signal en apenas unos días. Afecta a los usuarios de esta aplicación de mensajería en su versión de escritorio.