CVE-2018-11101

1.10.1 sürümü dahil Open Whisper Signal (diğer adıyla Signal-Desktop), bir SCRIPT, IFRAME veya IMG öğesinin özniteliğinde belirtilen bir kaynak konumu aracılığıyla, bir yanıttan sonra JavaScript yürütülmesine yol açan ve CVE-2018-10994'ten farklı olan bir XSS zafiyetine izin verir. Saldırganın bu zafiyeti tetiklemek için doğrudan mesaj olarak HTML kodu göndermesi ve ardından bu mesaja yanıt vermesi gerekir. Signal-Desktop yazılımı, bir HTML mesajına yanıt verilirken uzak sohbet pencerelerine HTML kodu enjekte etmek için kullanılabilecek belirli HTML öğelerini temizlemekte başarısız olur. Özellikle IMG ve IFRAME öğeleri, uzak veya yerel kaynakları dahil etmek için kullanılabilir. Örneğin, bir IFRAME öğesinin kullanımı; saldırganın dosya, bilgi vb. indirmesine/yüklemesine olanak tanıyarak tam kod yürütmeyi sağlar. SCRIPT öğesinin de enjekte edilebilir olduğu tespit edilmiştir. Windows işletim sisteminde CSP, SMB protokolü üzerinden kaynakların uzaktan dahil edilmesini önleyemez. Bu durumda, örneğin bir IFRAME öğesi içinde bir SMB paylaşımındaki betiğe referans verilerek (<IFRAME src=\\DESKTOP-XXXXX\Temp\test.html>) ve ardından buna yanıt verilerek JavaScript'in uzaktan yürütülmesi sağlanabilir. Dahil edilen JavaScript kodu, kullanıcıdan herhangi bir etkileşim gerekmeden otomatik olarak yürütülür. Zafiyet, Signal-Desktop istemcisinde özel olarak hazırlanmış bir mesaj gönderip ardından bu mesaja herhangi bir metin veya içerikle yanıt verilerek tetiklenebilir.