AMD ha corretto un bug da 10.000 dollari nel suo software, e non ha pagato il ricercatore che l'ha scoperto

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...to_154755.html

Un ricercatore indipendente ha individuato una vulnerabilità di esecuzione remota di codice nell'AutoUpdater AMD, sfruttabile tramite attacco Man-in-the-Middle su connessioni HTTP non cifrate. Dopo 124 giorni di embargo, AMD ha rilasciato una correzione ma ha negato la ricompensa.

Click sul link per visualizzare la notizia.

[schwalbe]

Come dicevano i nostri nonni "Per pagare e morire c'è sempre tempo"...

[Cfranco]

Che pidocchi

[Saturn]

Pulciari.

Così la prossima volta chiunque scoprirò qualcosa invece di comunicarlo a loro, lo venderà nel darkweb.

Almeno sarà sicuro del pagamento.

E oggi con Samsung siamo a due !

[Saturn]

@ALLA REDAZIONE

feicebuk e tutta "la sacra famiglia" di zuccobergo down, ci scappa la notizia dai !

[Fantapollo]

Che azienda VER-GO-GNO-SA

[supertigrotto]

Male, AMD, male,molto male,in questo periodo devi evitare di fare brutte figure, specialmente con una Nvidia sulla cresta dell' onda....

[mmorselli]

Non penso che ad AMD facciano differenza 10.000 dollari, il problema con buona probabilità è che il bounty promosso dall'azienda aveva delle regole, e l'exploit trovato seppure funzionale non le rispettava. Parliamo di multinazionali strutturate, ci sarà un team dedicato a gestire questi bounty che altro non può fare che rispettare i regolamenti decisi molto più in alto. Da che budget sarebbero dovuti uscire questi 10.000 dollari? Ce li mette Lisa Su? Dubito che l'argomento sia arrivato fino alla sua attenzione. Bisogna sempre contestualizzare i fatti e non pensare che "AMD" sia una persona che si infila una mano in tasca e tira fuori 10.000 dollari sopravvissuti alla lavatrice.

[belta]

Originariamente inviato da mmorselli

Non penso che ad AMD facciano differenza 10.000 dollari, il problema con buona probabilità è che il bounty promosso dall'azienda aveva delle regole, e l'exploit trovato seppure funzionale non le rispettava. Parliamo di multinazionali strutturate, ci sarà un team dedicato a gestire questi bounty che altro non può fare che rispettare i regolamenti decisi molto più in alto. Da che budget sarebbero dovuti uscire questi 10.000 dollari? Ce li mette Lisa Su? Dubito che l'argomento sia arrivato fino alla sua attenzione. Bisogna sempre contestualizzare i fatti e non pensare che "AMD" sia una persona che si infila una mano in tasca e tira fuori 10.000 dollari sopravvissuti alla lavatrice.

Mediamente in Italia siamo abituati a ragionare da micro impresa dove "il padrone" sa vita, morte e miracoli e decide tutto, quando nelle multinazionali non si conoscono neanche tra uffici confinanti e per decidere il colore della porta dei bagni fanno una call dall'altra parte del mondo con il "door specilist manager consulent global"

[berson]

Il messaggio non è per niente ambiguo, è chiarissimo; "conviene sfruttare le falle invece che segnalarle". Contenti loro.

[Ripper89]

Non è obbligatoria la ricompensa a quanto pare.

[fraussantin]

Originariamente inviato da mmorselli

Non penso che ad AMD facciano differenza 10.000 dollari, il problema con buona probabilità è che il bounty promosso dall'azienda aveva delle regole, e l'exploit trovato seppure funzionale non le rispettava. Parliamo di multinazionali strutturate, ci sarà un team dedicato a gestire questi bounty che altro non può fare che rispettare i regolamenti decisi molto più in alto. Da che budget sarebbero dovuti uscire questi 10.000 dollari? Ce li mette Lisa Su? Dubito che l'argomento sia arrivato fino alla sua attenzione. Bisogna sempre contestualizzare i fatti e non pensare che "AMD" sia una persona che si infila una mano in tasca e tira fuori 10.000 dollari sopravvissuti alla lavatrice.

sicuramente è così , ma sicuramente si poteva anche inoltrare una richiesta speciale per l'evento. semplicemente nelle grosse aziende il menifreghismo dilaga. il dipendente a capo del reparto ha valutato che non spetta fregandosene delle conseguenze.

la prossima volta potrebbe notificare il bug sul dark web invece che ad amd.

[blackshard]

Dall'articolo non si capisce granché sulla questione, probabilmente c'è la solita storia romanzata e tanti ricami attorno che tanto bene fanno al clickbaiting

Alla fine c'è anche la chiosa finale per cui "il bug individuato da Paul non sarebbe mai stato concretamente attivato" perché in un pezzo di codice che non viene mai richiamato. Un bug che non può accadere rimane un bug? Boh...

[mmorselli]

Originariamente inviato da fraussantin

sicuramente è così , ma sicuramente si poteva anche inoltrare una richiesta speciale per l'evento.

Magari non era un evento speciale ed è stato reso speciale solo dal fatto che qualcuno ci ha fatto un articolo e a cascata il resto del mondo lo ha copia-incollato.

Non ho molti elementi per dare un giudizio, ma mi viene da pensare che se AMD istituisce un bounty, ci sarà una ragione perché stabilisce dei confini?

la prossima volta potrebbe notificare il bug sul dark web invece che ad amd.

Magari al dark web di questo bug non sfruttabile sarebbe fregato ancora meno che ad AMD

[fraussantin]

Originariamente inviato da mmorselli

Magari al dark web di questo bug non sfruttabile sarebbe fregato ancora meno che ad AMD

ma forse di uno sfruttabile si . si poteva fare bella figura con 2 spicci ma tant'è ...

[mmorselli]

Originariamente inviato da fraussantin

ma forse di uno sfruttabile si

Quello sfruttabile magari rientrava nel bounty, se mettono dei paletti probabilmente è perché non vogliono firmare assegni a chi segnala cose inutili, fare un'eccezione in questo caso avrebbe fatto felici le persone che hanno empatizzato grazie all'esposizione mediatica, ma avrebbe poi portato gli altri esclusi a dire "perché lui sì e noi no?"

Questa mentalità del "fare un'eccezione" non la vedo molto positiva quando si parla di competizioni eque.

[fraussantin]

Originariamente inviato da mmorselli

Quello sfruttabile magari rientrava nel bounty, se mettono dei paletti probabilmente è perché non vogliono firmare assegni a chi segnala cose inutili, fare un'eccezione in questo caso avrebbe fatto felici le persone che hanno empatizzato grazie all'esposizione mediatica, ma avrebbe poi portato gli altri esclusi a dire "perché lui sì e noi no?"

Questa mentalità del "fare un'eccezione" non la vedo molto positiva quando si parla di competizioni eque.

Se era inutile non intervenivano

[mmorselli]

Originariamente inviato da fraussantin

Se era inutile non intervenivano

E perché no? Anche un errore formale una volta che è emerso si corregge. Qui tra l'altro hanno spiegato il perché fosse davvero inutile, perché quel codice non veniva chiamato mai, ma se non ho capito male questo è emerso da analisi successive.

Il punto, sempre se ho capito perché ho letto solo questo articolo e non ho approfondito da altre fonti, è che l'exploit per verificarsi richiedeva delle condizioni limite molto improbabili, come spesso accade per gli attacchi man-on-the-middle.

Per farmi capire meglio, immagina che il mio computer abbia un bug che consente di rubarmi tutti i dati e tutte le password, quindi molto grave, ma che per sfruttare questo bug dovresti entrare in casa mia e collegare un portatile via cavo direttamente al mio router. Il bug rimarrebbe reale, la possibilità di sfruttarlo davvero però sarebbe estremamente remota, così remota che possono tranquillamente pensare di fregarmene o assegnargli una priorità bassissima.

[destroyer85]

Il fatto che nel 2026 ci sia ancora gente che non usa HTTPS mi sembra ridicolo, che non sia in grado di farlo AMD è agghiacciante.

[blackshard]

Originariamente inviato da destroyer85

Il fatto che nel 2026 ci sia ancora gente che non usa HTTPS mi sembra ridicolo, che non sia in grado di farlo AMD è agghiacciante.

Debian distribuisce i suoi pacchetti tramite HTTP. E non c'è niente di strano, il controllo di autenticità viene fatto direttamente sui pacchetti. Ci sono dei buoni motivi anche per non usare HTTPS,