اختراق نظارات Ray-Ban Meta وتجاوز تصحيح ميتا بتغيير بايت واحد

غياب التحقق من التوقيع

لا تملك النظارات شاشة، فلم يكن بالإمكان فحص نظامها مباشرة. لجأت الباحثة إلى تطبيق Meta AI الذي يتحكم بالجهاز ويمرر إليه التحديثات. وجدت العنوان الذي ينزّل منه التطبيق الملفات، لكن أول ملف كان تحديثًا جزئيًا بحجم 156 ميغابايت تقريبًا. ثم عثرت في الشيفرة على المعلمة «device_firmware_full_update_only» وفعّلتها فحصلت على البرنامج الثابت الكامل.

بعدها استخدمت مجموعة Device Access Toolkit (DAT) من ميتا، وهي تتيح للمطورين تثبيت برنامج صغير على النظارات. وحتى الإصدار 126 من البرنامج الثابت لم تكن النظارات تتحقق من توقيع هذا البرنامج. وباستخدام أداة Frida اعترضت عملية التثبيت واستبدلت برنامج ميتا ببرنامجها. وللتأكد من عمل الشيفرة جعلتها تُصدر صافرات: ثلاث عند البدء وأربع عند الجاهزية وست عند الخطأ. غير أن صلاحيات برنامجها كانت كصلاحيات تطبيق عادي، ولم تتحكم بالنظام كله.

تجاوز التصحيح

بعد نحو خمسة أيام، أصبح الإصدار الجديد من البرنامج الثابت يفرض التحقق من التوقيع. لاحظت الباحثة أن هذه الحماية تعمل كمفتاح بسيط داخل ملف إعدادات ترسله ميتا إلى النظارات عبر الهاتف. ولأن النظارات لا تتحقق من سلامة الملف، كان يكفي تغيير بايت واحد لإيقاف الحماية وإعادة تثبيت برنامجها.

وفي النهاية استُبعدت نظارات Ray-Ban Meta من أهداف Pwn2Own 2026، فأبلغت الباحثة ميتا باكتشافاتها عبر برنامج مكافآت الثغرات. ووافقت الشركة على نشر التدوينة، ما يرجّح بحسب الباحثة أن الثغرات سُدّت.