Link alla notizia: https://www.hwupgrade.it/news/sicurezza-software/amd-ha-corretto-un-bug-da-10000-dollari-nel-suo-software-e-non-ha-pagato-il-ricercatore-che-l-ha-scoperto_154755.html

Un ricercatore indipendente ha individuato una vulnerabilità di esecuzione remota di codice nell'AutoUpdater AMD, sfruttabile tramite attacco Man-in-the-Middle su connessioni HTTP non cifrate. Dopo 124 giorni di embargo, AMD ha rilasciato una correzione ma ha negato la ricompensa.

Click sul link per visualizzare la notizia.

Come dicevano i nostri nonni "Per pagare e morire c'è sempre tempo"...

Che pidocchi :rolleyes:

Pulciari.

Così la prossima volta chiunque scoprirò qualcosa invece di comunicarlo a loro, lo venderà nel darkweb.

Almeno sarà sicuro del pagamento. :rolleyes:

E oggi con Samsung siamo a due ! :mad:

@ALLA REDAZIONE

feicebuk e tutta "la sacra famiglia" di zuccobergo down, ci scappa la notizia dai ! ;)

Che azienda VER-GO-GNO-SA

Male, AMD, male,molto male,in questo periodo devi evitare di fare brutte figure, specialmente con una Nvidia sulla cresta dell' onda....

Non penso che ad AMD facciano differenza 10.000 dollari, il problema con buona probabilità è che il bounty promosso dall'azienda aveva delle regole, e l'exploit trovato seppure funzionale non le rispettava. Parliamo di multinazionali strutturate, ci sarà un team dedicato a gestire questi bounty che altro non può fare che rispettare i regolamenti decisi molto più in alto. Da che budget sarebbero dovuti uscire questi 10.000 dollari? Ce li mette Lisa Su? Dubito che l'argomento sia arrivato fino alla sua attenzione. Bisogna sempre contestualizzare i fatti e non pensare che "AMD" sia una persona che si infila una mano in tasca e tira fuori 10.000 dollari sopravvissuti alla lavatrice.

Non penso che ad AMD facciano differenza 10.000 dollari, il problema con buona probabilità è che il bounty promosso dall'azienda aveva delle regole, e l'exploit trovato seppure funzionale non le rispettava. Parliamo di multinazionali strutturate, ci sarà un team dedicato a gestire questi bounty che altro non può fare che rispettare i regolamenti decisi molto più in alto. Da che budget sarebbero dovuti uscire questi 10.000 dollari? Ce li mette Lisa Su? Dubito che l'argomento sia arrivato fino alla sua attenzione. Bisogna sempre contestualizzare i fatti e non pensare che "AMD" sia una persona che si infila una mano in tasca e tira fuori 10.000 dollari sopravvissuti alla lavatrice.

Mediamente in Italia siamo abituati a ragionare da micro impresa dove "il padrone" sa vita, morte e miracoli e decide tutto, quando nelle multinazionali non si conoscono neanche tra uffici confinanti e per decidere il colore della porta dei bagni fanno una call dall'altra parte del mondo con il "door specilist manager consulent global" :asd:

Il messaggio non è per niente ambiguo, è chiarissimo; "conviene sfruttare le falle invece che segnalarle". Contenti loro.

Non è obbligatoria la ricompensa a quanto pare.

Non penso che ad AMD facciano differenza 10.000 dollari, il problema con buona probabilità è che il bounty promosso dall'azienda aveva delle regole, e l'exploit trovato seppure funzionale non le rispettava. Parliamo di multinazionali strutturate, ci sarà un team dedicato a gestire questi bounty che altro non può fare che rispettare i regolamenti decisi molto più in alto. Da che budget sarebbero dovuti uscire questi 10.000 dollari? Ce li mette Lisa Su? Dubito che l'argomento sia arrivato fino alla sua attenzione. Bisogna sempre contestualizzare i fatti e non pensare che "AMD" sia una persona che si infila una mano in tasca e tira fuori 10.000 dollari sopravvissuti alla lavatrice.

sicuramente è così , ma sicuramente si poteva anche inoltrare una richiesta speciale per l'evento. semplicemente nelle grosse aziende il menifreghismo dilaga. il dipendente a capo del reparto ha valutato che non spetta fregandosene delle conseguenze.

la prossima volta potrebbe notificare il bug sul dark web invece che ad amd.

Dall'articolo non si capisce granché sulla questione, probabilmente c'è la solita storia romanzata e tanti ricami attorno che tanto bene fanno al clickbaiting

Alla fine c'è anche la chiosa finale per cui "il bug individuato da Paul non sarebbe mai stato concretamente attivato" perché in un pezzo di codice che non viene mai richiamato. Un bug che non può accadere rimane un bug? Boh...

sicuramente è così , ma sicuramente si poteva anche inoltrare una richiesta speciale per l'evento.

Magari non era un evento speciale ed è stato reso speciale solo dal fatto che qualcuno ci ha fatto un articolo e a cascata il resto del mondo lo ha copia-incollato.

Non ho molti elementi per dare un giudizio, ma mi viene da pensare che se AMD istituisce un bounty, ci sarà una ragione perché stabilisce dei confini?

la prossima volta potrebbe notificare il bug sul dark web invece che ad amd.

Magari al dark web di questo bug non sfruttabile sarebbe fregato ancora meno che ad AMD

Magari al dark web di questo bug non sfruttabile sarebbe fregato ancora meno che ad AMD

ma forse di uno sfruttabile si . si poteva fare bella figura con 2 spicci ma tant'è ...

ma forse di uno sfruttabile si

Quello sfruttabile magari rientrava nel bounty, se mettono dei paletti probabilmente è perché non vogliono firmare assegni a chi segnala cose inutili, fare un'eccezione in questo caso avrebbe fatto felici le persone che hanno empatizzato grazie all'esposizione mediatica, ma avrebbe poi portato gli altri esclusi a dire "perché lui sì e noi no?"

Questa mentalità del "fare un'eccezione" non la vedo molto positiva quando si parla di competizioni eque.

Quello sfruttabile magari rientrava nel bounty, se mettono dei paletti probabilmente è perché non vogliono firmare assegni a chi segnala cose inutili, fare un'eccezione in questo caso avrebbe fatto felici le persone che hanno empatizzato grazie all'esposizione mediatica, ma avrebbe poi portato gli altri esclusi a dire "perché lui sì e noi no?"

Questa mentalità del "fare un'eccezione" non la vedo molto positiva quando si parla di competizioni eque.

Se era inutile non intervenivano

Se era inutile non intervenivano

E perché no? Anche un errore formale una volta che è emerso si corregge. Qui tra l'altro hanno spiegato il perché fosse davvero inutile, perché quel codice non veniva chiamato mai, ma se non ho capito male questo è emerso da analisi successive.

Il punto, sempre se ho capito perché ho letto solo questo articolo e non ho approfondito da altre fonti, è che l'exploit per verificarsi richiedeva delle condizioni limite molto improbabili, come spesso accade per gli attacchi man-on-the-middle.

Per farmi capire meglio, immagina che il mio computer abbia un bug che consente di rubarmi tutti i dati e tutte le password, quindi molto grave, ma che per sfruttare questo bug dovresti entrare in casa mia e collegare un portatile via cavo direttamente al mio router. Il bug rimarrebbe reale, la possibilità di sfruttarlo davvero però sarebbe estremamente remota, così remota che possono tranquillamente pensare di fregarmene o assegnargli una priorità bassissima.

Il fatto che nel 2026 ci sia ancora gente che non usa HTTPS mi sembra ridicolo, che non sia in grado di farlo AMD è agghiacciante.

Il fatto che nel 2026 ci sia ancora gente che non usa HTTPS mi sembra ridicolo, che non sia in grado di farlo AMD è agghiacciante.

Debian distribuisce i suoi pacchetti tramite HTTP. E non c'è niente di strano, il controllo di autenticità viene fatto direttamente sui pacchetti. Ci sono dei buoni motivi anche per non usare HTTPS,

E perché no? Anche un errore formale una volta che è emerso si corregge. Qui tra l'altro hanno spiegato il perché fosse davvero inutile, perché quel codice non veniva chiamato mai, ma se non ho capito male questo è emerso da analisi successive.

Il punto, sempre se ho capito perché ho letto solo questo articolo e non ho approfondito da altre fonti, è che l'exploit per verificarsi richiedeva delle condizioni limite molto improbabili, come spesso accade per gli attacchi man-on-the-middle.

Per farmi capire meglio, immagina che il mio computer abbia un bug che consente di rubarmi tutti i dati e tutte le password, quindi molto grave, ma che per sfruttare questo bug dovresti entrare in casa mia e collegare un portatile via cavo direttamente al mio router. Il bug rimarrebbe reale, la possibilità di sfruttarlo davvero però sarebbe estremamente remota, così remota che possono tranquillamente pensare di fregarmene o assegnargli una priorità bassissima.

Nel tuo caso sarebbe un bug cmq grave.
Se il pc é con pw non dovresti poter prelevare tutti i dati neanche rubando il pc stesso.
Ma stiamo parlando dell esempio non del fatto reale.

E diamo per scontato che l'articolo sia veritiero.

"In seguito il team di sicurezza interno ha rivalutato il caso, riconoscendone la validità tecnica. AMD ha allora comunicato al ricercatore l'intenzione di assegnare un identificativo CVE, sviluppare una patch e attribuire pubblicamente la scoperta - escludendo tuttavia qualsiasi pagamento"

Prob legalmente ha sicuramente ragione amd.
Ma nel momento in cui , riconosci che il ricercatore aveva ragione , sistemi con la patch , e gli dai il suo momento di gloria riconoscendogli i meriti , ma non sganci manco un picciolo .. beh a livello di immagine sbagli tutto dacendo la figura del pidocchio.

Nel tuo caso sarebbe un bug cmq grave.
Se il pc é con pw non dovresti poter prelevare tutti i dati neanche rubando il pc stesso.


In quale scenario, scusa? Se rubo il PC i dati sono accessibili a meno di non avere il filesystem crittografato, una cosa che gli utenti consumer non fanno praticamente mai e anche le aziende fanno solo a fronte di esigenze concrete, anche perché un filesystem crittografato si può facilmente ritorcere contro l'utente se non sta attento.

Ma stiamo parlando dell esempio non del fatto reale.

L'esempio che ti ho fatto è molto simile al caso reale, anche in questo caso si tratta di un attacco mirato, quindi non qualcosa che finisce su Internet sperando che ci capiti qualche malcapitato, ma proprio un attacco che qualcuno fa a te perché vuole infettare il tuo computer. Perché l'attacco funzioni l'attaccante dovrebbe:

- entrare nella tua stessa rete locale
- posto che tu abbia il software di update AMD installato, aspettare che arrivi il momento di scaricare un aggiornamento
- intercettare il traffico aspettando il download del file di update
- sostituire al volo quel file con un eseguibile "trojan" che abbia lo stesso CRC32 del file originale (e qui la critica è che non è una protezione forte come una firma digitale, ma è tutt'altro che semplice fare in modo che il tuo eseguibile abbia proprio quel CRC32)

capisci che è uno scenario molto improbabile, se non hai fatto incazzare il Mossad direi che puoi scaricare gli update anche con la versione vecchia non patchata (e se hai fatto incazzare il Mossad sei fottuto anche con la nuova)

Un exploit molto improbabile va comunque corretto? Ovvio che sì, non vedo ragioni per non farlo, ma rimane molto improbabile e quindi, per AMD, di scarso valore.

AMD ha solo dovuto prendere un file di configurazione xml e aggiungere una "s" dopo i vari http dei link.

Ma nel momento in cui , riconosci che il ricercatore aveva ragione , sistemi con la patch , e gli dai il suo momento di gloria riconoscendogli i meriti , ma non sganci manco un picciolo .. beh a livello di immagine sbagli tutto dacendo la figura del pidocchio.

Ma la domanda che ho già fatto e che non ha ottenuto risposta è ancora "chi avrebbe dovuto sganciare quei piccioli"? Non puoi dire "AMD", non è un'azienda a conduzione familiare, se anche qualche dirigente di qualche reparto avesse pensato che quello sviluppatore meritasse un riconoscimento economico comunque non avrebbe saputo da quale capitolo di spesa prelevarli, tu al suo posto avresti fatto lo stesso, a meno che non ci volessi mettere i soldi di tasca tua.

In quale scenario, scusa? Se rubo il PC i dati sono accessibili a meno di non avere il filesystem crittografato, una cosa che gli utenti consumer non fanno praticamente mai e anche le aziende fanno solo a fronte di esigenze concrete, anche perché un filesystem crittografato si può facilmente ritorcere contro l'utente se non sta attento.



L'esempio che ti ho fatto è molto simile al caso reale, anche in questo caso si tratta di un attacco mirato, quindi non qualcosa che finisce su Internet sperando che ci capiti qualche malcapitato, ma proprio un attacco che qualcuno fa a te perché vuole infettare il tuo computer. Perché l'attacco funzioni l'attaccante dovrebbe:

- entrare nella tua stessa rete locale
- posto che tu abbia il software di update AMD installato, aspettare che arrivi il momento di scaricare un aggiornamento
- intercettare il traffico aspettando il download del file di update
- sostituire al volo quel file con un eseguibile "trojan" che abbia lo stesso CRC32 del file originale (e qui la critica è che non è una protezione forte come una firma digitale, ma è tutt'altro che semplice fare in modo che il tuo eseguibile abbia proprio quel CRC32)

capisci che è uno scenario molto improbabile, se non hai fatto incazzare il Mossad direi che puoi scaricare gli update anche con la versione vecchia non patchata (e se hai fatto incazzare il Mossad sei fottuto anche con la nuova)

Un exploit molto improbabile va comunque corretto? Ovvio che sì, non vedo ragioni per non farlo, ma rimane molto improbabile e quindi, per AMD, di scarso valore.

AMD ha solo dovuto prendere un file di configurazione xml e aggiungere una "s" dopo i vari http dei link.



Ma la domanda che ho già fatto e che non ha ottenuto risposta è ancora "chi avrebbe dovuto sganciare quei piccioli"? ***
Non puoi dire "AMD", non è un'azienda a conduzione familiare, se anche qualche dirigente di qualche reparto avesse pensato che quello sviluppatore meritasse un riconoscimento economico comunque non avrebbe saputo da quale capitolo di spesa prelevarli, tu al suo posto avresti fatto lo stesso, a meno che non ci volessi mettere i soldi di tasca tua.

I file utente su pc windows nel momento in cui metti una pw sono crittografati .

Parlo della cartella utente dove per default ci stanno i file personali.

E dove la gente comune tiene foto save , documenti dowload ecc.


***
Ti avevo risposto mi pare .

Cmq il dipendente che in quel caso ha il potere decisionale poteva richiedere un intervento straordinario, per premiare il tizio invece che liquidarlo con un solo "grazie" giustificandolo come danno all'immagine.

E Ovvio che la colpa non é di amd , meno che mai di lisa su .
Ma della t.. d . C. Che era ha potere decisionale.

Stiamo parlando di una cifra piccola il modo di trovarla c'é se un minimo di cervello lo ha chi "comanda'

A livello di immagine non sono passati bene.
Se un utente come te pensa che sia giusto quello che hanno fatto ,altri la pensano diversamente.


Ti racconto un esempio reale successo qui in toscana alcuni anni fa

L'eurospin , non il salumiere sotto casa , ha licenziato una dipendente perche ha superato 6 mesi di malattia , anche se sapevano che si era fatta un trapianto sperimentale si staminali.

Proprio a causa dell intervento e del sistema immunitario compromesso non é potuta tornare a lavoro neppure per il famoso giorno che spezza i 6 mesi.

Legalmente potevano licienzarla e lo hanno fatto.

Bene la storia é finita sui giornali , qualche bandiera rossa si é vista davanti al punto vendita e l'hanno riassunta tempo poco senza manco che dovesse tornarci subito , si sono scusati ufficialmente dicendo che é stato un errore formale ( e chi ci crede ;)
La verità é che il danno all'immagine sarebbe stato maggiore del risparmio.


Link
Cassiera con sclerosi multipla licenziata, azienda revoca decisione: 'Abbiamo sbagliato' | Sky TG24 https://share.google/qZO35NAwujFhSQrNo

Quando si vuole si possono fare le eccezioni anche nelle aziende enormi .




Edit

Se poi quello che c'é scritto qui fosse falso conferma che é doveroso prevedere fondi per evitare figuracce ma se fosse vero , fossi lisa demansionerei subito il dirigente che ha permesso questo.

AMD cambia le regole e nega la ricompensa di 10.000 dollari a un ricercatore che ha impiegato 124 giorni per correggere una falla di sicurezza | TechSpot https://share.google/Mz9sY4pRnexFhOm18

I file utente su pc windows nel momento in cui metti una pw sono crittografati .
Parlo della cartella utente dove per default ci stanno i file personali.
E dove la gente comune tiene foto save , documenti dowload ecc.


Ho controllato, da un po' questa cosa è vera su WIN11 Home, se usi un account Microsoft per il login. In questo caso si attiva in automatico Device Encryption, che è una versione semplificata di BitLocker. Non è invece attivo su WIN11 Home con account locale o WIN11 Pro o Enterprise, dove deve essere scelto esplicitamente dall'utente.

Personalmente non mi sento a mio agio con un disco crittografato che diventa inaccessibile se per esempio devo usare un tool di recupero dati a seguito di corruzione del filesystem, le cose davvero riservate stanno su tool separati come keepass o veracrypt per i quali posso avere un backup del file, cosa che perderebbe un po' di significato con il disco crittografato (se ho un backup di file crittografati vuol dire che in qualche modo rimangono accessibili da qualcuno che può accedere al backup)


Cmq il dipendente che in quel caso ha il potere decisionale poteva richiedere un intervento straordinario, per premiare il tizio invece che liquidarlo con un solo "grazie" giustificandolo come danno all'immagine.

Il "danno d'immagine" mi sembra davvero minimo, è una cosa girata tra qualche nerd di cui si saranno scordati tutti a breve, inoltre rimarrebbe il problema che se fai eccezione per quel caso poi devi anche cambiare le regole del bounty per includere tutti gli altri. Il bounty escludeva esplicitamente i tool esterni, come appunto è un updater.

L'esempio che fai con la cassiera con sclerosi multipla non mi sembra calzante, perché è chiaro che sia un problema che va a toccare un pubblico molto più ampio e non c'è il "rischio" che quella eccezione obblighi a trattare nello stesso modo casi simili, c'è proprio la necessità che ciò accada. Mentre nel caso di AMD come hai visto anche qui i pareri si sono divisi tra "è giusto così" e "AMD avrebbe potuto fare un'eccezione" nel caso della cassiera dubito ci sarebbe stata la stessa polarizzazione. Se il caso di cui stiamo parlando fosse stato grave come quello allora certamente sarebbe arrivato fino all'attenzione dei piani alti, fino a quello di Lisa Su.

AMD cambia le regole e nega la ricompensa di 10.000 dollari a un ricercatore che ha impiegato 124 giorni per correggere una falla di sicurezza

Questo è certamente un errore di traduzione/interpretazione dell'AI

E' stata AMD ad impiegare 124 giorni per correggere una falla (una replace di 1 carattere su un file xml). Da come è scritta l'headline sopra sembra che sto povero ricercatore abbia lavorato 124 giorni per correggere sta falla e non l'abbiano voluto pagare :D

Inoltre AMD non "cambia le regole", ma le applica se mai.

Rimane il fatto che se non voleva sganciare 10K $ poteva regalare il top delle CPU o SV, e faceva contenti tutti, e figura migliore!

Rimane il fatto che se non voleva sganciare 10K $ poteva regalare il top delle CPU o SV, e faceva contenti tutti, e figura migliore!

Ma il problema resta: chi?

Continuate a scrivere come se "AMD" fosse una persona che si infila le mani in tasca e tira fuori un libretto degli assegni.

Ma un'azienda strutturata di quelle dimensioni non ha per forza gente con quel potere decisionale e un capitolo di spesa da cui attingere.

L'altro problema che resta e a cui nessuno ha voluto dare una risposta è come si sarebbero dovuti comportare con tutte le altre persone escluse dal bounty per le stesse ragioni, ma che non sono riuscite a finire sul giornale.

Ho controllato, da un po' questa cosa è vera su WIN11 Home, se usi un account Microsoft per il login. In questo caso si attiva in automatico Device Encryption, che è una versione semplificata di BitLocker. Non è invece attivo su WIN11 Home con account locale o WIN11 Pro o Enterprise, dove deve essere scelto esplicitamente dall'utente.

Personalmente non mi sento a mio agio con un disco crittografato che diventa inaccessibile se per esempio devo usare un tool di recupero dati a seguito di corruzione del filesystem, le cose davvero riservate stanno su tool separati come keepass o veracrypt per i quali posso avere un backup del file, cosa che perderebbe un po' di significato con il disco crittografato (se ho un backup di file crittografati vuol dire che in qualche modo rimangono accessibili da qualcuno che può accedere al backup)



Il "danno d'immagine" mi sembra davvero minimo, è una cosa girata tra qualche nerd di cui si saranno scordati tutti a breve, inoltre rimarrebbe il problema che se fai eccezione per quel caso poi devi anche cambiare le regole del bounty per includere tutti gli altri. Il bounty escludeva esplicitamente i tool esterni, come appunto è un updater.

L'esempio che fai con la cassiera con sclerosi multipla non mi sembra calzante, perché è chiaro che sia un problema che va a toccare un pubblico molto più ampio e non c'è il "rischio" che quella eccezione obblighi a trattare nello stesso modo casi simili, c'è proprio la necessità che ciò accada. Mentre nel caso di AMD come hai visto anche qui i pareri si sono divisi tra "è giusto così" e "AMD avrebbe potuto fare un'eccezione" nel caso della cassiera dubito ci sarebbe stata la stessa polarizzazione. Se il caso di cui stiamo parlando fosse stato grave come quello allora certamente sarebbe arrivato fino all'attenzione dei piani alti, fino a quello di Lisa Su.

Ah io ho sempre usato un account ma davo per scontato che lo fosse in toto . Anche perche non ha senso usare la pw se basta avviare il pc con boot da chiavetta e prendere tutto.

Anche perche non ha senso usare la pw se basta avviare il pc con boot da chiavetta e prendere tutto.

Ha senso se il PC sta in un posto dove l'evento che descrivi è estremamente improbabile e i dati sono solo riservati, non segreti.

Un sacco di gente, sia in ambito home che aziendale non ha niente di particolarmente rilevante sui dischi locali del pc. Le password salvate nel browser sono già crittografate a livello utente.

Se la crittografia del filesystem fosse a costo zero e rischio zero capirei, ma sarebbe brutto se un utente perdesse tutte le sue foto delle vacanze solo perché ha esagerato con la protezione di qualcosa che non meritava di essere protetto così tanto.

Ma il problema resta: chi?

AMD!

Lo so anch'io che è una ditta molto strutturata, ma la figura di palta rimane, e c'è chi la doveva gestire, ma non l'ha gestita bene.
E tutti diranno AMD, non reparto X o divisione Y o controllata K o ...

Sembra il nostro stato: fai una legge a tutela dei cittadini (vedi tetto ticket sanitari), poi l'escamotage per truffare la stessa legge che hai fatto!

Lo so anch'io che è una ditta molto strutturata, ma la figura di palta rimane, e c'è chi la doveva gestire, ma non l'ha gestita bene.

OK, preso atto che nessuno vuole rispondere seriamente sul chi (cioè quale persona, con quale ruolo: Lisa Su? ), rilancio con la domanda:

come?

Nessuno ha risposto dicendo come si sarebbe poi dovuta comportare con tutte quelle persone che per lo stesso motivo sono state escluse dal bounty, ma non hanno avuto l'onore delle cronache.

Sembra il nostro stato: fai una legge a tutela dei cittadini (vedi tetto ticket sanitari), poi l'escamotage per truffare la stessa legge che hai fatto!

L'escamotage è partecipare ad un bounty, venire esclusi perché lo dice il regolamento stesso, e poi piangere sui social per far sì che le regole vengano riviste, magari ad personam