Критическая уязвимость в «Яндекс Станциях» и телевизорах устранена срочным патчем

«Яндекс» выпустил экстренное обновление для защиты миллионов пользователей от уязвимости в умных колонках и телевизорах партнёров на платформе YaOS. Причиной стали недостаточно защищённые криптографические сертификаты от компании eMudhra.

Проблема затрагивала восемь промежуточных центров сертификации, чьи закрытые ключи шифрования можно было восстановить методом перебора благодаря их элементарной сложности. Каждый ключ представлял собой число от 1 до 255, что делало подбор тривиальной задачей для специалиста по информационной безопасности. Обладая правильными ключами, злоумышленник мог создавать поддельные электронные подписи и манипулировать данными, передаваемыми между устройством пользователя и облачными сервисами компании.

Уязвимость позволяла изменять параметры конфигурации на «Яндекс Станциях» по усмотрению атакующего. Разработчики-энтузиасты уже применили эту возможность в целях отладки, активировав инструмент ADB и получив административные привилегии на собственных устройствах. Для реального нападения на чужую колонку или телевизор требовалось обоснованное сочетание двух факторов: наличие поддельного сертификата и одновременный контроль над интернет-соединением потерпевшего.

Автоматическое распределение обновления произошло в период с 21 по 23 октября текущего года. Патч выполняет три ключевые операции: удаляет компрометированные сертификаты из системного хранилища, заменяет подверженные риску системные компоненты и отключает возможность подключения через инструмент отладки. Категорически не рекомендуется выполнять возврат устройств к заводским параметрам, так как подобное действие может восстановить старую версию микропрограммы со всеми её недостатками безопасности.

Источник: 4pda