Ray-Ban Meta взломали: исследовательница обошла патч Meta одним байтом

Подпись не проверялась

У очков нет экрана, поэтому изучить систему напрямую было нельзя. Исследовательница обратилась к приложению Meta AI, которое управляет устройством и передаёт ему обновления. Она нашла адрес, откуда приложение скачивает файлы, но первый оказался частичным обновлением примерно на 156 МБ. В коде нашёлся параметр «device_firmware_full_update_only»; включив его, она получила полную прошивку.

Далее она использовала Device Access Toolkit (DAT) — набор Meta, позволяющий разработчикам ставить на очки небольшие программы. До версии прошивки 126 очки не проверяли подпись такой программы. С помощью инструмента Frida она перехватила установку и подменила программу Meta своей. Работу кода она отслеживала по звуковым сигналам: три при запуске, четыре при готовности, шесть при ошибке. Права у программы были как у обычного приложения, весь системой управлять она не могла.

Обход исправления

Около пяти дней спустя новая версия прошивки стала требовать проверку подписи. Исследовательница заметила, что эта защита включается как простой переключатель в файле настроек, который Meta отправляет на очки через телефон. Очки не проверяли, не изменён ли файл, поэтому ей хватило поменять один байт, чтобы отключить защиту и снова установить свою программу.

В итоге Ray-Ban Meta исключили из целей Pwn2Own 2026. Тогда pamoutaf сообщила о находках через программу bug bounty компании. Meta одобрила публикацию записи, и это, по мнению исследовательницы, говорит об устранении уязвимостей.