"Безопасный" мессенджер Signal Client v6.2 и более ранние версии уязвимы для CVE-2023–24068 и CVE-2023–24069.

Десктопный клиент позволяет хацкеру получать потенциально конфиденциальные вложения, отправляемые в сообщениях из каталога attachments.noindex

Эксперимент (4 скриншота для наглядности):
1. Отправляю в беседу картинку синего квадрата.
2. Перехожу в папку attachments.noindex, где хранится незашифрованное изображение (его можно легко найти по дате + изменить расширение на жипег/пнг)
3. Меняю изображение на другое (красный квадрат) и пересылаю сообщение в другой чат…
4. Угадайте, что было отправлено?

Злоумышленник через скрипты и макросы может ловко и грамотно подменить нужные файлы (док, пдф, тхт, etc) в корыстных целях 👹

Обнова десктопного клиента скоро будет запилена. Следите за обновлениями.

Типичный 🎹 Сисадмин