Яндекс выпустил масштабное экстренное обновление для миллионов активных «Яндекс Станций» и большинства совместимых телевизоров на YaOS после обнаружения проблемы с сертификатами eMudhra. По данным компании, патч вышел в период с 21 по 23 октября и устанавливался автоматически, без каких‑либо действий со стороны пользователей, затрагивая как устройство, так и установленное ПО.

Проблема оказалась связана с компрометацией закрытых ключей восьми промежуточных удостоверяющих центров. Исследователь отметил, что эти ключи можно подобрать перебором, потому что они представлялись числами от 1 до 255. В результате злоумышленники могли формировать поддельные сертификаты и проводить атаки типа «человек посередине» — перехватывать и корректировать сетевой трафик.

Уязвимость на устройствах YaOS позволяла менять конфигурацию, получаемую с серверов компании. Опытные пользователи экспериментировали с включением служебного интерфейса ADB (Android Debug Bridge) и получали права суперпользователя на собственных колонках. Чтобы применить аналогичные действия к чужой колонке, злоумышленнику требовалось дополнительно обеспечить контроль над сетевым трафиком.

Обновление удаляет скомпрометированные сертификаты, перезаписывает уязвимые системные файлы и блокирует доступ через ADB. Кроме того, Яндекс предупредил, что сброс к заводским настройкам возвращает уязвимую версию прошивки. Компания рекомендует регулярно устанавливать обновления приложений и устройств и проверять применяемые сертификаты.