Суть обнаруженного уязвимости
Исследователи безопасности выявили в системе «Московской электронной школы» (МЭШ) пакет mesh-agent-lesson-log. Этот агент устанавливается централизованно через систему удалённого администрирования и работает в фоновом режиме. Его ключевая функция — по команде с сервера school.mos.ru активировать микрофон, записать аудио, конвертировать его в формат Opus и отправить на локальный сервер MEDIASTG, после чего локальная копия удаляется.
Главная проблема заключается в отсутствии информирования пользователей. При запуске записи ученики и учителя не получают никаких уведомлений. Более того, агент использует функции temporaryUnmute и probeWithTemporaryUnmute, которые позволяют временно снять программное ограничение на микрофон, установленное самой операционной системой. Это означает, что даже если учитель физически или программно выключил микрофон, агент может обойти это ограничение.
Технические детали и эволюция агента
Исследование показало, что функционал агента менялся, становясь менее прозрачным для пользователей. В таблице ниже приведено сравнение версий пакета, установленного на панелях с августа по октябрь 2026 года.
| Характеристика | Версия 0.1.3 (Июль 2026) | Версия 1.1.0 (Октябрь 2026) |
|---|---|---|
| Назначение в документации | «Агент для аудиозаписи урока» | «Агент обеспечивает проведение урока» (нейтрально) |
| Уведомление пользователя | Было (системное сообщение) | Удалено |
| Доступ к микрофону | Стандартный | Обход mute через temporaryUnmute |
| Криптографическая подпись | Ключ МОС (abf@os.mos.ru) | Отсутствует (подпись удалена) |
| Сбор данных | Аудио | Аудио + MAC-адрес, ID системы, сетевые интерфейсы |
Масштаб и последствия
Проверка трёх панелей из разных школ подтвердила, что запись аудио происходит на практике: в каталогах агента найдены аудиофайлы, созданные 16 октября 2026 года. Агент каждые 10 минут связывается с API school.mos.ru/api/speech-analytics/internal/v1/agent, где сегмент «speech-analytics» прямо указывает на цели речевой аналитики.
Поскольку при регистрации оборудования МЭШ привязывает панель к конкретному кабинету и школе, собранные аудиоданные можно однозначно идентифицировать с местом их записи. Публичных документов, регламентирующих сроки хранения этих записей и круг лиц, имеющих к ним доступ, не обнаружено. ДИТ Москвы на момент публикации не предоставило комментариев.
Источник: Securitylab ↗