تقریباً هر برنامه‌ای دارای آسیب‌پذیری‌های امنیتی است که برخی از آن‌ها اکنون کشف می‌شوند، اما مابقی تا زمانی که کسی آن‌ها را کشف و از آن‌ها بهره‌برداری نکرده، مخفی باقی می‌مانند. وقتی این مسأله مطرح می‌شود، پیام‌رسان خصوصی سیگنال که به‌عنوان یکی از پیام‌رسان‌های امن در جهان ترویج داده می‌شود نیز از این قاعده مستثنی نیست.
پژوهش‌گر پروژه‌ی صفر گوگل، ناتالی سیلوانویچ یک آسیب‌پذیری منطقی در برنامه‌ی پیام‌رسان سیگنال نسخه‌ی اندروید کشف کرد که به تماس گیرنده‌ی مخرب اجازه می‌دهد تا دستگاه گیرنده‌ی تماس را مجبور کند که بدون نیاز به تعامل با کاربر به تماس پاسخ دهد. به عبارت دیگر، ممکن است از این آسیب‌پذیری به منظور روشن کردن میکروفون دستگاه کاربر سیگنال هدف و گوش دادن به همه‌ی مکالمات او بهره‌برداری شود.
بااین‌حال، آسیب‌پذیری سیگنال تنها درصورتی می‌تواند مورد بهره‌برداری قرار گیرد که گیرنده نتواند به یک تماس صوتی در سیگنال پاسخ دهد و در نهایت دستگاه گیرنده را مجبور کند تا به‌طور خودکار به تماس ورودی پاسخ دهد. سیلوانویچ در پست وبلاگی خود تشریح می‌کند که در کلاینت اندروید، یک متد handleCallConnected وجود دارد که باعث می‌شود برقراری تماس به پایان برسد. در موارد استفاده‌ی عادی، این متد در دو حالت فراخوانی می‌شود: زمانی که دستگاه تماس گیرنده هنگام انتخاب accept برقراری تماس را می‌پذیرد، و زمانی که دستگاه تماس گیرنده یک پیام connect ورودی دریافت کند که نشان می‌دهد تماس گیرنده برقراری تماس را پذیرفته است.
با استفاده از یک کلاینت تغییریافته، امکان ارسال پیام connect به یک دستگاه تماس گیرنده در زمانی که یک تماس ورودی در حال انجام است اما هنوز توسط کاربر پذیرفته نشده است، وجود دارد. این مسأله باعث می‌شود که حتی اگر کاربر با دستگاه خود تعاملی نداشته باشد، تماس پاسخ داده شود. لازم به ذکر است که تماس برقرارشده تنها یک تماس صوتی خواهد بود، زیرا کاربر باید به‌صورت دستی ویدئو را در همه‌ی تماس‌ها فعال کند.
سیلوانویچ نیز خاطرنشان کرد که سیگنال به دلیل محدودیت‌های موجود در WebRTC با این حمله‌ی راه دور بزرگ مواجه شده است و نقص طراحی آن نیز نسخه‌ی iOS این پیام‌رسان را تحت تأثیر قرار می‌دهد، اما نمی‌توان از آن بهره‌برداری کرد، زیرا این تماس به دلیل وجود خطا در رابط کاربر به‌طور کامل برقرار نمی‌شود.
سیلوانویچ هفته‌ی گذشته این آسیب‌پذیری را به گروه امنیتی سیگنال گزارش داد. گروه امنیتی سیگنال بلافاصله این آسیب‌پذیری را تأیید و آن را در عرض چند ساعت و با انتشار سیگنال برای اندروید نسخه‌ی ۴٫۴۷٫۷ آن را وصله کرد. به کاربران توصیه می‌شود که آخرین نسخه‌ی برنامه‌ی پیام‌رسان سیگنال خود را از فروشگاه گوگل پلی نصب کنند و اطمینان حاصل کنند که همیشه برنامه‌های به‌روز را در دستگاه‌های اندروید و iOS خود اجرا می‌کنند.
