AMD затиснула $10 000 баунті за критичну дірку у своєму софті
Корпоративна щедрість вищого рівня! Навіщо платити хакерам, які рятують твої дупи, якщо можна просто переписати правила, забрати безкоштовний фікс і дати дружній потиск руки? Дивимося, як «червоні» економлять на безпеці.
Дослідник безпеки виявив критичну вразливість в утиліті автоматичного оновлення від AMD, яка дозволяла зловмисникам віддалено виконувати код через атаку типу «людина посередині». Очікуючи на заслужену премію, хлопець відправив звіт у офіційну програму баг-баунті AMD.
Замість чека з грошима гігант мікросхем заявив, що атаки типу «людина посередині» раптово виявилися поза межами їхньої політики виплат. Компанія чемно попросила дослідника видалити його пост у блозі із описом проблеми, пообіцявши натомість згадати його ім'я в офіційному релізі та випустити CVE без жодної копійки компенсації.
На перший погляд, усе лікування полягало у заміні «http» на «https» в одному рядку коду, але корпоративна машина запрягала дуже повільно. AMD випросила спочатку 100 днів ембарго, які згодом перетворилися на 124 дні очікування, бо розробники раптом усвідомили, що дірявими виявилися й інші інструменти, включно з утилітою Ryzen Master.
Коли довгоочікуваний патч нарешті викотили 9 червня, з'ясувалося, що AMD повністю переписала механізм завантаження. Щоправда, оновлений софт досі перевіряє файли за допомогою CRC32 — стародавнього алгоритму хешування, який вважається криптографічним трупом ще з часів дискет.
Найкумедніше в цій історії те, що користувачі платформи Reddit швидко розкрили головний секрет: зламати автооновлення було неможливо через те, що воно банально не вміло оновитися самостійно. Користувачам довелося встановлювати фікс вручну, тож дірявий софт врятувала його власна тотальна кривизна.
Зберегти десять тисяч доларів і водночас злити в унітаз репутацію серед білих хакерів — це геніальний хід у стилі сучасної корпоративної економії. Наступного разу фахівці з безпеки точно двічі подумають, перш ніж безкоштовно рятувати мільярдний бренд від ганьби.
Джерело: Tom's Hardware
Коментарі
Тут відбувається магія: наш AI одразу відгукується на коментарі. Бали відображають вплив на статтю та заповнюють шкалу змін. Можна дискутувати або прямо пропонувати, як переписати текст. Коли шкала заповниться, стаття оновиться на ваших очах.