Ray-Ban Meta piratées : une chercheuse exécute son propre code
Une chercheuse a piraté les lunettes Ray-Ban Meta en empruntant celles de son beau-frère. Retour sur une faille corrigée.
Une chercheuse connue sous le pseudonyme de « pamoutaf » a réussi à prendre la main sur les Ray-Ban Meta. Spécialiste de la sécurité des applications, elle a fait exécuter son propre code par ces lunettes connectées. Dans un billet de blog publié le 6 novembre, elle détaille toutes les étapes de son travail. Le récit est technique, mais il reste instructif pour tous les utilisateurs d’objets connectés.
Un pari autour des Ray-Ban Meta
Tout commence en juillet 2026. À cette période, pamoutaf prépare Pwn2Own, une compétition qui récompense les hackers capables de pirater des appareils grand public. Les lunettes de Meta figuraient parmi les cibles de l’édition précédente. Elle décide donc de s’y attaquer.
Un obstacle se présente toutefois très vite : le prix de l’appareil. Elle refuse de dépenser 500 euros pour une simple expérience. Elle emprunte alors la paire de son beau-frère, qui ne l’utilisait presque jamais. Elle la garde pendant quelques semaines.
Ensuite, un second problème apparaît. Les lunettes n’ont pas d’écran. Il est donc impossible d’explorer directement leur système. La chercheuse doit trouver un autre point d’entrée.
Une faille dans l’installation des programmes
Elle se tourne vers l’application Meta AI. Celle-ci pilote les lunettes depuis un smartphone. Elle sert également d’intermédiaire pour leur envoyer les mises à jour. C’est donc un passage obligé pour qui veut étudier le firmware, c’est-à-dire le logiciel interne de l’appareil.
pamoutaf repère l’adresse à laquelle l’application télécharge ces mises à jour. Elle obtient un premier fichier, mais il ne contient qu’une mise à jour partielle d’environ 156 Mo. En fouillant le code de l’application, elle découvre un paramètre nommé device_firmware_full_update_only. Une fois activé, il lui permet de récupérer le firmware complet.
Reste à faire tourner son propre programme sur les lunettes. Pour cela, elle utilise le Device Access Toolkit (DAT). Ce kit de Meta permet aux développeurs d’installer un petit programme sur l’appareil. C’est précisément là que se cache la faille.
En théorie, les lunettes devraient d’abord contrôler la signature du programme. Cette signature est un tampon cryptographique qui prouve que le code vient bien de Meta. Or, jusqu’à la version 126 du firmware, cette vérification n’existait pas.
La chercheuse s’appuie alors sur Frida, un outil qui modifie le comportement d’une application pendant son exécution. Grâce à lui, elle intercepte l’installation et remplace le programme de Meta par le sien. Selon elle, n’importe quelle application pouvait alors tourner sur les lunettes.
Des bips pour déboguer sans écran
Il fallait encore vérifier que le code fonctionnait réellement. Sans écran, la tâche est délicate. pamoutaf a donc programmé des bips sonores. Trois bips signalent le démarrage, quatre indiquent que le programme est prêt, et six annoncent une erreur.
Ce système lui a permis de corriger les derniers blocages. Depuis son téléphone, elle envoyait ensuite des commandes et les voyait s’exécuter. Son contrôle restait cependant partiel. Son programme n’avait que les droits d’une application ordinaire et ne pouvait pas agir sur tout le système.
Le correctif contourné en modifiant un octet
La chercheuse a profité de cet accès pendant environ cinq jours. Ensuite, Meta a déployé une nouvelle version du firmware. Cette fois, les lunettes devaient vérifier la signature des programmes installés.
Pourtant, cette protection n’a pas arrêté pamoutaf. Elle a remarqué que la vérification fonctionnait comme un simple interrupteur. Celui-ci se trouvait dans un fichier de réglages que Meta transmet aux lunettes via le téléphone.
Or, les lunettes ne contrôlaient pas l’intégrité de ce fichier. Il suffisait donc de modifier un seul octet pour désactiver la vérification. La chercheuse a ainsi pu réinstaller son programme. Le correctif ne servait plus à rien.
Son objectif de départ n’a finalement pas abouti. En effet, les Ray-Ban Meta ont été retirées de la liste des cibles de Pwn2Own 2026. Elle a alors signalé ses découvertes à Meta par le biais de son programme de bug bounty. L’entreprise a validé la publication du billet. La chercheuse en déduit que les failles sont désormais corrigées.
Ce qu’il faut retenir sur les Ray-Ban Meta
- Jusqu’à la version 126 du firmware, les lunettes n’exigeaient aucune vérification de signature pour les programmes installés via le DAT.
- Le premier correctif était insuffisant. Le réglage de sécurité pouvait être modifié en changeant un octet dans un fichier non vérifié.
- Le contrôle obtenu restait limité aux droits d’une application classique, sans accès à l’ensemble du système.
- Meta a été prévenue via son programme de bug bounty. Les failles semblent désormais corrigées.
Par conséquent, les utilisateurs doivent surtout garder leurs lunettes et leur application Meta AI à jour. Cette affaire rappelle également qu’un correctif n’a de valeur que s’il protège tous les maillons de la chaîne, y compris les fichiers de configuration.