De versleutelde chatdienst Signal heeft opnieuw een ernstig beveiligingslek in de Desktop-app verholpen waardoor een aanvaller op afstand code had kunnen uitvoeren. Het ging om een variant van de aanval die op 14 mei werd geopenbaard.

Signal is een chat-app waarmee smartphone-gebruikers end-to-end versleuteld kunnen communiceren. Naast de Signal-app voor smartphones is er Signal Desktop, een applicatie die gebruikers Signal-berichten via hun laptop of desktop laat ontvangen. Alle berichten worden vervolgen gesynchroniseerd met de Signal-app op de smartphone.

Onderzoekers ontdekten dat het mogelijk was om willekeurige code uit te voeren door een kwaadaardige link naar een Signal Desktop-gebruiker te sturen. Verdere interactie was niet nodig en de aanval werkte platformonafhankelijk. Signal werd op 10 mei over de kwetsbaarheid ingelicht en een dag later was er een update beschikbaar.

Onderzoeker Matthew Bryant besloot naar eigen zeggen te raden waar de kwetsbaarheid zich precies bevond en hoe die te misbruiken was. Hij ontdekte dat als er een HTML-bericht werd gemaakt en er vervolgens met Quoted Reply op het bericht werd gereageerd, de originele HTML-code ook als HTML werd beschouwd. Bryant installeerde de update van 11 mei, maar tot zijn verbazing bleek zijn exploit nog steeds te werken.

Bryant besefte dat de onderzoekers voor hun exploit gewone Signal-berichten verstuurden die als HTML werden geïnterpreteerd. Ze maakten geen gebruik van Quoted Replies die Bryant voor zijn exploit gebruikte. Hij waarschuwde daarop het Signal-team. Binnen twee uur werd er een update onder Signal Desktop-gebruikers uitgerold.