AMD исправила RCE-уязвимость за 124 дня и не заплатила $10 тыс.

AMD оказалась в споре с исследователем безопасности после исправления критической уязвимости в системе автообновления драйверов. Исследователь утверждает, что сообщил о сценарии удаленного выполнения кода через атаку «человек посередине», ждал стандартную выплату в $10 тыс., но получил отказ. На закрытие проблемы у компании ушло 124 дня. По описанию исследователя, проблема затрагивала механизм автоматической доставки и установки обновлений AMD. При определенных

условиях злоумышленник мог перехватить трафик между системой пользователя и инфраструктурой обновлений, а затем подменить содержимое. Такой класс атак относится к MITM, когда атакующий встраивается между двумя узлами связи и получает возможность читать или менять передаваемые данные. Отчет был подан через программу bug bounty, после чего AMD отклонила выплату. Основание, по словам исследователя, было формальным: компания не относит

MITM-сценарии к случаям, подпадающим под вознаграждение по своей политике. При этом патч позже все же вышел, а сам процесс исправления сопровождался переносами сроков и расширением перечня затронутых компонентов. Исследователь, как утверждается, соблюдал эмбарго и даже удалил публикацию

о проблеме до выхода исправления. Для программ поиска уязвимостей такая коллизия чувствительна. Удаленное выполнение кода обычно относится к самым дорогим классам находок, потому что позволяет запускать произвольный код на чужой системе. Для сравнения, Google в

отдельных программах платит за такие находки суммы на порядок выше, а Microsoft в своих bounty отдельно выделяет наиболее опасные цепочки атак. На этом фоне отказ AMD выглядит не как спор о размере премии, а как вопрос о границах собственной политики раскрытия и мотивации исследователей. История важна и для рынка драйверов в целом. Каналы обновлений давно остаются привлекательной целью, потому что дают доступ сразу к большому

числу устройств, а атаки на цепочку поставок софта за последние годы стали отдельным классом инцидентов. Если AMD не пересмотрит правила программы, компания рискует получать меньше ранних сообщений о сложных сценариях, которые формально не вписываются в bounty, хотя на практике требуют срочного патча.

Сообщает itzine.ru

 

Новость из рубрики: Технологии и Hi-Tech

 

Поделиться новостью:

 

Топ Новости Недели

• Уход за кожей от Mary Kay: ежедневный ритуал, который работает на красоту...
• IronWallet: современный криптокошелек для безопасного управления цифровыми активами...
• СРО строителей как основа надежного строительства и профессионального развития...
• Крепеж Sormat: надежные решения для профессионального и бытового монтажа...
• Lolzteam Market: современный подход к безопасной покупке игровых аккаунтов...
• Форум Lolzteam - Пространство для общения, обучения и обсуждения современных технологий...
• Запчасти для строительной техники: надежность, которая обеспечивает бесперебойную работу спецтехники...
• Аппарат ИВЛ - Современные технологии, которые помогают сохранить жизнь...
• Длинные розы - Цветы превращающие обычный букет в настоящее произведение искусства...
• Ремонт завершен - Профессиональная уборка становится последним важным этапом...
• ТО Hyundai: профессиональный подход к обслуживанию, который сохраняет надежность автомобиля...
• Пляжные зонты больших размеров: идеальное решение для комфортного отдыха под открытым небом...
• Противопожарное оборудование как основа надежной безопасности объектов...
• Алюминиевый: Почему алюминиевый плинтус не боится влаги: физика, химия и практичность...
• ЯМамин: Прогулочная коляска: как сохранить комфорт в компактном формате...
• Пожертвование как осознанный выбор: почему помощь меняет больше, чем кажется...
• Отличные сверла для печатных плат...
• Стоматология ОренСтом в Оренбурге: когда забота о зубах становится частью комфортной жизни...
• Пластиковые контейнеры для мусора на 1100 литров: надежный порядок там, где отходов действительно много...
• Дизайнерские лестницы на металлическом каркасе: архитектурный акцент для современного интерьера...