AMD verweigert Forscher 10.000-Dollar-Bounty trotz kritischer Auto-Update-Schwachstelle, die 124 Tage unbehoben blieb

Zunächst die guten Nachrichten: Der Updater scheint nun gesichert zu sein, und wer die neueste Version des Softwarepakets ädt, sollte eine bereinigte Version erhalten.

Der Weg dorthin war jedoch alles andere als geradlinig, und bis heute hat Paul für seine Bemühungen anscheinend keinen Cent erhalten – eine Geschichte, die angesichts der Probleme immer häufiger wird. Hätte AMD die Bedeutung des Problems voll anerkannt, wäre ein Remote-Code-Execution (RCE)-Fehler sonst mit 10.000 US-Dollar belohnt worden.

Der aktualisierte Beitrag enthält die vollständige Geschichte, und diese lautet wie folgt: Im Februar, als AMD Paul bat, den Blogbeitrag vorübergehend zu entfernen, versprach das Unternehmen, eine standardmäßige CVE auszugeben, den Softwarefehler zu beheben und die Entdeckung Paul zuzuschreiben, wobei eine Prämienzahlung jedoch aussichtslos war.

Paul stimmte zu (eine Entscheidung, die

Paul stimmte zu (eine Entscheidung, die er nun bereut), fragte jedoch nach dem Zeitplan branchenübliche Fenster von vor, bis er die öffentliche Offenlegung erneut veröffentlichen würde.

AMD antwortete, dass es „wahrscheinlich einen längeren Embargozeitraum benötige, da zusätzliche Werkzeuge über Ryzen Master hinaus scheinbar ebenfalls betroffen sind und Freigaben erfordern." Diese Aussage ist aus mehreren Gründen bemerkenswert: Erstens wirft sie die Frage auf, warum AMD so lange benötigt, um zu veröffentlichen, was anscheinend eine einzeilige Korrektur darstellt, bei der im Code „http" durch „https" ersetzt wird.

Zweitens, wenn das Problem schwerwiegend genug war, so lange zu lösen, dann wäre Pauls Arbeit zweifellos einer gewissen Entschädigung würdig. Drittens, wie Paul bereits anmerkte: Wenn dieses Problem so dringlich wirkte, warum wurde ihm dann keine höhere Priorität eingeräumt?

Technik und Auswirkungen

Trotzdem einigte er sich schließlich auf einen Zeitraum von und fragte AMD kurz vor Ablauf der Frist nach „was geht?", bevor er erneut um mehr Zeit gebeten wurde, da ihm mitgeteilt wurde, dass „mehrere Tools vom Fehler betroffen sind" und „Kunden ätzliche Zeit verlangen, sobald die Behebungen verfügbar sind".

Schließlich meldete sich AMD und teilte mit, dass eine Lösung bis zum 9. Juni bereitstehen werde, was nach dem ersten Auffinden des Fehlers entspricht.