Яндекс обновил миллионы активных умных колонок и большинство партнёрских телевизоров на YaOS после обнаружения уязвимости в сертификатах eMudhra. Обновление вышло 21–23 октября и установилось автоматически, без действий со стороны пользователей. Об этом сообщили в компании.
Проблема связана с компрометацией закрытых ключей восьми промежуточных удостоверяющих центров. Исследователь выяснил, что ключи можно подобрать перебором: они представляли собой числа от 1 до 255. Это позволяло создавать поддельные сертификаты и проводить атаки типа «человек посередине», перехватывая и изменяя сетевой трафик.
На «Яндекс Станциях» уязвимость позволяла подменять конфигурацию, получаемую с серверов компании. Энтузиасты использовали её, чтобы включить служебный интерфейс ADB (Android Debug Bridge) и получить права суперпользователя на собственных устройствах. Для атаки на чужую колонку злоумышленнику потребовалось бы дополнительно получить контроль над её сетевым трафиком.
Выпущенное обновление удаляет скомпрометированные сертификаты, перезаписывает уязвимые системные файлы и закрывает доступ через ADB. Яндекс также предупредил, что сброс к заводским настройкам возвращает уязвимую версию прошивки. Компания рекомендует устанавливать обновления приложений и устройств и проверять используемые сертификаты.
