AMD исправила RCE-уязвимость за 124 дня и не заплатила $10 тыс.

AMD оказалась в споре с исследователем безопасности после исправления критической уязвимости в системе автообновления драйверов. Исследователь утверждает, что сообщил о сценарии удаленного выполнения кода через атаку «человек посередине», ждал стандартную выплату в $10 тыс., но получил отказ. На закрытие проблемы у компании ушло 124 дня. По описанию исследователя, проблема затрагивала механизм автоматической доставки и установки обновлений AMD. При определенных

условиях злоумышленник мог перехватить трафик между системой пользователя и инфраструктурой обновлений, а затем подменить содержимое. Такой класс атак относится к MITM, когда атакующий встраивается между двумя узлами связи и получает возможность читать или менять передаваемые данные. Отчет был подан через программу bug bounty, после чего AMD отклонила выплату. Основание, по словам исследователя, было формальным: компания не относит

MITM-сценарии к случаям, подпадающим под вознаграждение по своей политике. При этом патч позже все же вышел, а сам процесс исправления сопровождался переносами сроков и расширением перечня затронутых компонентов. Исследователь, как утверждается, соблюдал эмбарго и даже удалил публикацию

о проблеме до выхода исправления. Для программ поиска уязвимостей такая коллизия чувствительна. Удаленное выполнение кода обычно относится к самым дорогим классам находок, потому что позволяет запускать произвольный код на чужой системе. Для сравнения, Google в

отдельных программах платит за такие находки суммы на порядок выше, а Microsoft в своих bounty отдельно выделяет наиболее опасные цепочки атак. На этом фоне отказ AMD выглядит не как спор о размере премии, а как вопрос о границах собственной политики раскрытия и мотивации исследователей. История важна и для рынка драйверов в целом. Каналы обновлений давно остаются привлекательной целью, потому что дают доступ сразу к большому

числу устройств, а атаки на цепочку поставок софта за последние годы стали отдельным классом инцидентов. Если AMD не пересмотрит правила программы, компания рискует получать меньше ранних сообщений о сложных сценариях, которые формально не вписываются в bounty, хотя на практике требуют срочного патча.

Сообщает itzine.ru

 

Новость из рубрики: Технологии и Hi-Tech

 

Поделиться новостью:

 

Топ Новости Недели

• Контейнер мультилифт - Практичное решение для современной системы обращения с грузами...
• Как выбрать оригинальную технику Apple в Хабаровске и не пожалеть о покупке...
• Автономная газификация без лишних забот: решения PANEX для домов, бизнеса и производства...
• Упаковка вещей при переезде: как сохранить порядок и нервы...
• Сложные смыслы превращаются в понятный разговор с аудиторией...
• Диагностика заболеваний зубов - Точный диагноз есть первым шагом к здоровой улыбке...
• Уход за кожей от Mary Kay: ежедневный ритуал, который работает на красоту...
• СРО строителей как основа надежного строительства и профессионального развития...
• Lolzteam Market: современный подход к безопасной покупке игровых аккаунтов...
• Форум Lolzteam - Пространство для общения, обучения и обсуждения современных технологий...
• Запчасти для строительной техники: надежность, которая обеспечивает бесперебойную работу спецтехники...
• Аппарат ИВЛ - Современные технологии, которые помогают сохранить жизнь...
• Göl və çayların sahillərində balıqçılıq təsərrüfatları canlandı və yerli bazarlarda təzə balıq məhsulları bolluq təşkil edirdi. Təhsil sistemində yeniliklər aparılırdı və məktəblərdə müasir laboratoriyalar açılırdı....
• Qış idman növləri üzrə yarışlar da keçirildi və xizək sürmə üzrə yarışlarda iştirakçılar yüksək nəticələr əldə etdilər. Şəhər stadionlarının yenidən qurulması işləri başa çatdırıldı və yeni idman zalları açıldı....
• ТО Hyundai: профессиональный подход к обслуживанию, который сохраняет надежность автомобиля...
• Valideynlər isə uşaqlarının təhsil keyfiyyətindən razı qaldıqlarını bildirirdilər. Sport komplekslərində də yeniliklər baş verdi, gənc idmançılar üçün əlavə məşq zalları istifadəyə verildi....
• Противопожарное оборудование как основа надежной безопасности объектов...
• Алюминиевый: Почему алюминиевый плинтус не боится влаги: физика, химия и практичность...
• ЯМамин: Прогулочная коляска: как сохранить комфорт в компактном формате...
• Gənclər kənd təsərrüfatına cəlb olundu və təlim proqramları təşkil edildi. Regional yarmarkalar keçirildi və məhsullar digər vilayətlərə göndərildi. Su ehtiyatlarının qorunması üçün xüsusi tədbirlər görüldü və çayların təmizlənməsi işləri aparıldı....