Signal漏洞连环爆! 桌面版应用程序一周内被爆两个程式码注入漏洞

由于EFAIL漏洞影响E-mail加密邮件安全性，EFF则建议可以暂时使用加密通讯软件Signal做替代，不过，Signal这边似乎也不太平静，除了不久前被爆出Mac版Signal留存该消失的过期讯息外，在一周内被爆出两个桌面版应用程序的程式码注入攻击漏洞，皆能让骇客从远端发送恶意程式码，而且过程无须用户参与。

第一个漏洞是被阿根廷的白帽骇客在无意间发现的，资讯安全研究员Iván Ariel Barrera Oro、Alfredo Ortega以及Juliano Rizzo三人使用Signal聊天，其中一人贴了跨站脚本攻击（cross-site scripting，XSS）负载的链接，而这个XSS负载却被Signal桌面应用程序意外的执行了。

这个代码为CVE-2018-10994的漏洞，严重的地方在于骇客可以自己开始与被害人的对话，而且在攻击的过程不需要被害人参与互动，Windows、Linux以及macOS平台的桌面应用程序都在漏洞影响范围之内，骇客只要传送一个精心制作的网址给被害人，就能轻易攻击对方。

资讯安全研究人员试了各种HTML的元素包含img、form、script、object、frame、framset、iframe甚至声音与影片元素都有效，他们提到，特别是在iframe中，还可以透过微软服务器讯息区块（SMB）协定分享恶意程式码，让骇客远端执行任意恶意程式码。

研究人员对此做了一个概念性验证，发现利用HTML iframe可以窃取Windows用户的NTLMv2杂凑密码。他们提到，在Windows操作系统中，CSP（Commercial Service Provider）无法阻止透过SMB协定传送的远程攻击资源。

更引人注意的是，Signal以飞快的速度以修补了该漏洞，而该补丁内含一个庞大的正规表示式，资讯安全研究员提到，他们无法置信Signal官方能在这么短的时间撰写这个复杂的式子，结果深入了解发现，该补丁早就存在，但是在4月时为了修复部分问题被移除了，现在只是恢复该补丁。资讯安全研究员认为，那之前移除该补丁的问题应该就又回来了。

在第一个漏洞修补完后，资讯安全研究员随后又发现Signal桌面版本的另一个漏洞CVE-2018-11101，与先前漏洞类似，但这次是发生在引述讯息的功能中，也就说现在骇客只是多一道手续，先发送HTML/JavaScript恶意程式码，接着再引述该讯息，便能进接着进行第一个漏洞后续的攻击，而同样的，Signal桌面应用程序会自动执行收到的恶意程式码，不需要与受害者互动。

Signal官方在收到通知后，对第二个漏洞也进行了修补，Signal桌面应用程序有自动更新功能，多数用户的软件应该皆已更新，还未更新的用户也应该赶紧手动更新，因为该漏洞有机会让用户的加密讯息以明文曝光，或是导致其他更严重的后果。