«Яндекс» выпустил экстренное обновления для миллионов колонок и телевизоров

«Яндекс» выпустил обновление для миллионов умных колонок и большинства телевизоров партнёров на YaOS. Причиной стала уязвимость, позволявшая создавать поддельные сертификаты и при определённых условиях получать доступ к устройствам. Исправление установилось автоматически с 21 по 23 октября.

Проблема оказалась связана с сертификатами eMudhra. Специалисты выяснили, что закрытые ключи восьми промежуточных центров сертификации можно подобрать перебором. Их значения находились в диапазоне от 1 до 255. Это позволяло подделывать сертификаты, перехватывать сетевой трафик и подменять передаваемые данные.

На «Яндекс Станциях» уязвимость давала возможность изменять конфигурацию, загружаемую с серверов компании. Энтузиасты использовали её, чтобы активировать ADB и получить полный доступ к своим колонкам. Для взлома чужого устройства требовалось также контролировать его сетевой трафик.

Обновление удаляет недействительные сертификаты, заменяет уязвимые системные файлы и блокирует доступ через ADB. При этом «Яндекс» не рекомендует сбрасывать устройства до заводских настроек. После сброса колонка или телевизор могут установить старую версию прошивки, в которой уязвимость ещё не устранена. Поэтому владельцам лучше дождаться автоматического обновления и не пытаться вернуть устройство к исходному состоянию.

30 октября 2026 года

Константин Смородин