Слабость была не в коде Станции, а в удостоверяющем центре, чьим сертификатам она доверяла. 17 октября исследователь под псевдонимом Wayne сообщил, что вычислил закрытые ключи восьми промежуточных центров eMudhra: они оказались числами от 1 до 255, и их можно было подобрать перебором по открытым сертификатам. С таким ключом злоумышленник мог подписывать поддельные сертификаты и проводить атаку «человек посередине» (MITM). На Станции через такую подмену можно было изменить конфигурацию, которую она получает с сервера, — так энтузиасты включали на своих колонках служебный интерфейс ADB. Для атаки на владельца без его ведома требовался ещё и контроль над трафиком устройства, например через взломанный роутер.
По сообщению Яндекса, с 21 по 23 октября обновление автоматически установилось на все активные Станции и абсолютное большинство партнёрских устройств; компания говорит о «миллионах» активных колонок. Обновление перезаписывает скомпрометированные системные файлы, убирает доверие к сертификатам eMudhra и закрывает доступ через ADB. Владельцам обновлённых колонок ничего делать не нужно.
Важное ограничение: полный сброс возвращает Станцию к заводской прошивке, в которой уязвимость сохраняется до установки обновления. Яндекс не рекомендует сбрасывать устройство без острой причины; после сброса колонке придётся снова получить обновление. Долю обновлённых партнёрских устройств компания не раскрывает — в сообщении только «абсолютное большинство»; независимого подтверждения от eMudhra и сторонних тестов нет.
