AMD не выплатила вознаграждение исследователю, обнаружившему критический баг

AMD снова оказалась в центре неприятной истории вокруг своей программы поощрения «белых хакеров», предполагающей выплаты исследователям, которые находят уязвимости и докладываю о них компании. Как сообщает Tom’s Hardware, исследователь безопасности по имени Пол нашел уязвимость в автообновляторе AMD: при атаке «человек посередине» (Man-in-the-Middle) она потенциально могла привести к удалённому выполнению нежелательного кода.

Источник изображения: Reuters
URL изображения Пол отправил отчёт в AMD, рассчитывая на выплату за обнаруженный им критический баг, но компания отказала: MITM-атаки, по её правилам, не подпадали под условия программы. При этом AMD не стала игнорировать проблему. Компания попросила исследователя временно убрать публичное описание, пообещала выпустить CVE (идентификатор обнаруженной уязвимости), исправить баг и указать его авторство. Денег, правда, не обещала.

Пол согласился на условия и предложил стандартный срок раскрытия – 90 дней, но AMD заявила, что ей нужно больше времени: проблема затрагивала не только Ryzen Master, но и другие инструменты. В итоге ожидание растянулось до 124 дней. На момент 9 июня баг был исправлен, что было подтверждено исследователем.

Во всей этой истории нюанс остаётся то, что исследователь так и не получил выплаты. Впрочем, как отмечают на Reddit, есть вероятность, что сам баг и не был критическим – на самом деле он ни при каких обстоятельствах не мог быть вызван.