Molly 최신 공개판, 통화 종료 취약점 영향은 RingRTC 버전이 좌우

본문

Signal의 음성·영상 통화 기능을 맡는 RingRTC에서 CVE-2026-113380이 공개됐습니다. NVD에 따르면 RingRTC 2.72.0 미만에서는 통화 상대가 통화 상태 머신의 이벤트 큐를 포화시켜, 사용자가 통화를 끊어도 연결과 오디오, 경우에 따라 영상 트랙이 정리되지 않게 할 수 있습니다. NVD는 이 취약점을 2026년 10월 20일 등록했습니다.

Signal의 RingRTC 수정은 종료 요청을 이벤트 큐와 별도로 처리합니다. 상태 머신이 5초 안에 정리되지 않아도 통화 연결 해제를 이어가도록 바꿨습니다.

Molly의 GitHub 릴리스 목록에는 v8.19.2-4가 최신 공개판으로 표시됩니다. 해당 앱 태그의 Signal 기준 버전은 8.19.2이며, 게시물은 이 판이 7월 31일 공개됐다고 적었습니다. 다만 취약점의 영향 범위는 Signal 앱 버전이 아니라 RingRTC 버전으로 정해집니다. Molly의 Android 빌드 설정은 별도 RingRTC 아티팩트 저장소를 지정하고 있지만, 공개 릴리스 안내에는 배포 APK에 포함된 RingRTC 버전이 적혀 있지 않습니다. 따라서 공개된 앱 버전만으로는 Molly 설치본의 실제 노출 여부를 확정할 수 없습니다.

자료: PieFed, NVD, GitHub / 정리·해설: Trawling