«Яндекс» обновил программное обеспечение миллионов умных колонок и большинства телевизоров партнёров на YaOS. Причиной стала уязвимость, которая позволяла создавать поддельные сертификаты и при определённых условиях получать доступ к устройствам. Исправление установилось автоматически с 21 по 23 октября. Telegram-канал создателя Трешбокса про технологии
Проблема связана с сертификатами eMudhra. Специалисты обнаружили, что закрытые ключи восьми промежуточных центров сертификации можно подобрать перебором, поскольку каждый из них имел значение от 1 до 255. Это позволяло создавать поддельные сертификаты, перехватывать сетевой трафик и подменять передаваемые данные.
На «Яндекс Станциях» уязвимость давала возможность менять конфигурацию, которую устройства загружают с серверов компании. Энтузиасты использовали этот способ, чтобы активировать ADB и получить полный доступ к своим колонкам. Однако для взлома чужого устройства требовалось не только создать поддельный сертификат, но и контролировать его сетевой трафик.
Обновление удаляет недействительные сертификаты, заменяет уязвимые системные файлы и блокирует доступ через ADB. При этом владельцам устройств не рекомендуют сбрасывать настройки до заводских. После сброса колонка или телевизор могут восстановить старую версию прошивки с той же уязвимостью, предупреждает «Яндекс».
Источник: trashbox.ru