距离 Signal 桌面应用程序上一个代码注入漏洞（CVE-2018-10994）被披露不到一周的时间内，安全研究人员又发现了另一个严重的代码注入漏洞（CVE-2018-11101）。与之前的漏洞相似，新漏洞允许远程攻击者可以在无需任何用户交互的情况下，通过向接收者的 Signal 桌面应用程序发送消息来注入恶意代码，从而以明文形式窃取用户的 Signal 聊天记录。

两者漏洞之间的唯一区别在于前一个驻留在处理聊天 *** 享链接的函数中，而新漏洞则是存在于处理引用消息验证的不同函数中，即引用回复中的前一条消息。换句话说，若要利用 Signal 桌面应用程序的易受攻击版本上新补丁的错误，攻击者需要将恶意 HTML / JavaScript 代码作为消息发送给受害用户，然后使用任何随机文本对同一消息进行引用或者回复。如果受害者在其易受攻击的 Signal 桌面应用程序中接收到包含恶意 payload 的引用消息，那么它将自动执行 payload，而不需要任何用户交互。

除了聊天记录被窃取之外，研究人员在其博客中还指出，攻击者甚至可以使用 HTML iFrame 从远程 *** B 共享中包含文件，该文件可能被滥用来窃取 Windows 密码。

目前开发人员已针对 Windows、MacOS 以及 Linux 用户发布了 Signal 桌面版 1.11.0，建议可能会受到漏洞影响的用户尽快更新。

相关参考：

《新漏洞利用 PoC 》

《CVE-2018-10994》

消息来源：Thehackernews，编译：榆榆，审核：吴烦恼;

本文由 HackerNews.cc 编译整理，封面来源于 *** ；

转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。