Исследователь под ником bitracker опубликовал eQuasar — способ открыть отладочный доступ к «Яндекс Станции» без разборки корпуса. В описании подтверждён тест на «Мини 2» с прошивкой от 13 октября. 22 октября «Яндекс» подтвердил «Код.ру», что найденный сценарий позволял владельцу получить права суперпользователя root, и сообщил о начале распространения исправления.

Метод требует контроля над сетевыми настройками: запросы колонки к инфраструктуре «Яндекса» перенаправляются на локальный сервер исследователя. По описанию автора, eQuasar использует скомпрометированный набор сертификатов eMudhra. Колонка принимает подменённый сервер за доверенный, после чего открывается ADB — интерфейс, через который разработчики получают командную оболочку устройства. Совместимость со всеми моделями и прошивками не установлена.

Это конкретное проявление риска, о котором мы писали в разборе слабых ключей eMudhra: блокировки в браузерах не распространяются автоматически на встроенное ПО домашних устройств. Однако речь пока об исследовательском доступе к собственной колонке. «Яндекс» оценил доступ к чужой «Станции» до обновления как практически невозможный; подтверждённой кампании взломов в опубликованных материалах нет. Открытая оболочка также ещё не означает готовой замены «Алисы» или музыкального сервиса.

По сообщению пресс-службы от 22 октября, часть колонок уже получила обновление безопасности, остальным обещали доставить его автоматически в тот же день. Завершение установки на всех устройствах независимо не подтверждено. Компания отдельно признала сценарий со сбросом к заводским настройкам, связанный с экспериментами владельцев над своей колонкой, и сообщила, что продолжает над ним работать.