Россияне нашли хитрый способ убрать «Алису» из умных колонок. «Яндекс» тут же ликвидировал эту возможность
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- КИИ в облаке
- 10 лет российского бэкапа
- SDN: Сеть как дом
- История облаков
- 30 лет ERP России
- Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- ИТ-бизнес
- Рейтинги
|
Исследователи обнаружили лазейку с ПО умных колонок «Яндекса», которая позволяет получать root-права и полный доступ к операционной системе «Станций». «Яндекс» назвал это уязвимостью и невероятно оперативно выпустил патч для ее устранения. Спастись от него не удастся – он установится автоматически и в фоне.
Root-права на «Станциях»
В России обнаружен способ взлома умных колонок «Яндекс Станция» и получения на них root-правдоступа, пишет портал «Код.ру». Это наивысший уровень прав, открывающий полный доступ к ПО колонки, включая софт для работы с голосовым ассистентом «Алиса», со всеми вытекающими последствиями.
Преимущество этого метода взлома в том, что не придется разбирать колонку – устройство остается в целости. Весь секрет кроется в ошибке в системе доверенных сертификатов, эксплуатация которой и приводит к получению root-прав.
«Код.ру» не пишет, как именно работает этот метод взлома. По информации «Хабра», речь о проекте eQuasar и доступ к прошивке через инструмент управления устройствами ADB (Android Debug Bridge).
Немного подробностей
Согласно описанию к проекту eQuasar на сайте defenders08.tech, исследователям удалось добраться до программных «внутренностей» колонки «Яндекс Станция Мини 2». Она появилась в октябре 2021 г., и сейчас это уже не самая последняя модель в семействе «Мини» – после нее вышли «Мини 3» и «Мини 3 Про».
«Яндекс Станция Мини 2»
В описании также сказано, что реализовано все путем принудительного перенаправления DNS-запросов серверам Яндекса на специальный локальный сервер на базе Nginx. После всех манипуляций открывается доступ к колонке по порту 5555.
Успешный root-доступ был получен на прошивке «Яндекс Станции Мини 2» версии 0.369.1.46.4778262943.20261013.299. О возможности взлома других колонок «Яндекса» к моменту выхода материала не сообщалось.
Что в итоге
Согласно информации с сайта defenders08.tech, root-доступ на колонках «Яндекса» открывает перед пользователем целую гору возможностей. В их числе: запуск собственных программ (прошивка основана на ядре Linux 4.9), внедрение своего голосового ассистента, а также интеграция с любым сторонним музыкальным сервисом вместо «Яндекс Музыки».
В то же время взлом не позволяет вернуть в строй заблокированные колонки. «Заблокированные «Яндекс Станции» нельзя разблокировать этим способом, поскольку их статус проверяется не только на самом устройстве, но и на стороне серверов Яндекса (server-side). Поэтому DNS-подмена и локальная конфигурация Nginx сами по себе не позволяют обойти серверную проверку блокировки», – отмечено на сайте defenders08.tech.
«Яндекс» ответил
Представители «Яндекса» сообщили «Код.ру», что специалисты компании осведомлены о возможности получения root-прав на «Станциях» таким методом. Они назвали это уязвимостью и заявили, что устранили ее.
«Наша техническая команда уже разобрала сценарии уязвимости и подготовила обновление безопасности для наших устройств. Часть пользователей уже получила его, остальные получат сегодня (статья «Код.ру» вышла 22 октября 2026 г. – прим. CNews)»
При этом пользователи, не желающие, чтобы на их колонках пропала потенциальная возможность замены «Алисы» на другой ассистент, не смогут отказаться от обновления. «Пользователям ничего делать не нужно. оно установится на «Станции» автоматически», – сообщили «Код.ру» в «Яндексе».
Low/no-code-революция: новая архитектура цифровой независимости Конференция
Напомним, «Яндекс» – это безоговорочный лидер и почти монополист российского рынка умных колонок. Как сообщал CNews, в I квартале 2026 г. почти девять из десяти умных колонок в стране были произведены «Яндексом» (статистика «М.Видео»).
В целом, российский рынок смарт-колонок почти полностью поделен между тремя основными игроками. Помимо «Яндекса» это Сбербанк, в конце лета 2026 г. выпустивший колонку SberBoom 2.0 с ассистентом «Гигачат», а также VK, колонки которого оснащены помощником «Маруся».
К моменту выхода материала в последний раз VK выпускал умную колонку в конце октября 2024 г. это была флагманская модель «Капсула Про», а через несколько дней после этого появилась информация об уходе VK с рынка смарт-колонок. Холдинг ее опроверг, однако с тех пор не представил ни одной новой модели.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.