AMD refuse au chercheur une prime de bug de 10 000 $ après qu'une vulnérabilité critique de mise à jour automatique ait mis 124 jours à être corrigée

Dans une démarche qui a suscité un débat au sein de la communauté de la cybersécurité, AMD a refusé de verser une prime de 10 000 $ à un chercheur qui a découvert une vulnérabilité critique dans le logiciel de mise à jour automatique de l'entreprise. La faille de sécurité, dont la correction a pris 124 jours après la divulgation initiale, a soulevé des questions sur le programme de divulgation des vulnérabilités d'AMD et sur son engagement à récompenser les chercheurs en sécurité qui contribuent à améliorer la sécurité des produits.

La vulnérabilité : une faille critique de la mise à jour automatique

Le chercheur non identifié a découvert une vulnérabilité importante dans le mécanisme de mise à jour automatique d'AMD, un composant responsable du téléchargement et de l'installation automatiques des mises à jour logicielles. Les vulnérabilités des mises à jour automatiques sont particulièrement préoccupantes, car elles peuvent être exploitées par des attaquants pour diffuser des logiciels malveillants, exécuter du code arbitraire ou obtenir un accès non autorisé aux systèmes sans interaction de l'utilisateur.

Selon le rapport du chercheur, la faille pourrait permettre à un attaquant d'effectuer une attaque de l'homme du milieu (MitM), potentiellement interceptant et modifiant des packages de mises à jour légitimes. Cela pourrait conduire à l'installation de logiciels malveillants ou à des modifications non autorisées du micrologiciel sur les systèmes concernés.

Chronologie des événements : de la découverte à la résolution

La séquence d'événements met en évidence le processus souvent complexe de divulgation et de correction des vulnérabilités :

• Jour 0 : Un chercheur découvre et signale en privé la vulnérabilité d'AMD via son programme officiel de bug bounty
• Jours 1 à 30 : Accusé de réception initial d'AMD, avec confirmation que la vulnérabilité fait l'objet d'une enquête
• Jours 31 à 90 : Communication limitée d'AMD, sans calendrier clair pour la résolution
• Jours 91 à 120 : le chercheur effectue un suivi à plusieurs reprises, exprimant son inquiétude quant au temps de résolution prolongé.
• Jour 124 : AMD publie une mise à jour de sécurité corrigeant la vulnérabilité
• Post-patch : le chercheur demande la prime de 10 000 $ conformément aux directives du programme publiées par AMD
• Décision finale : AMD refuse le paiement de la prime malgré la vulnérabilité répondant aux critères énoncés

Programme Bug Bounty d'AMD : directives et application

AMD gère un programme de divulgation des vulnérabilités (VDP) qui comprend des incitations financières pour les chercheurs qui découvrent et signalent de manière responsable des problèmes de sécurité. Le programme, géré via la plateforme Bugcrowd, offre différents montants de primes en fonction de la gravité de la vulnérabilité découverte.

Selon des informations accessibles au public, les vulnérabilités critiques affectant la fonctionnalité de mise à jour automatique sont généralement éligibles au niveau de prime le plus élevé de 10 000 $. Le programme indique explicitement que les chercheurs qui signalent des vulnérabilités valides répondant aux critères de gravité seront récompensés.

Niveau de gravité	Montant de la prime	Critères
Critique	10 000 $	Exécution de code à distance, élévation de privilèges ou compromission complète du système
Élevé	5 000 $	Contournement des mécanismes de sécurité, exposition des données sensibles
Moyen	2 500 $	Contournement partiel des fonctionnalités, divulgation d'informations
Faible	500 $	Problèmes de sécurité mineurs, conditions de déni de service

La décision controversée : la position d'AMD

Malgré la vulnérabilité répondant clairement aux critères d'une prime de 10 000 $, AMD a refusé de payer, citant des raisons non précisées dans sa réponse au chercheur. L'entreprise n'a pas commenté publiquement ce cas spécifique, gardant le silence au-delà de la communication privée avec le chercheur.

Les experts du secteur pensent qu'AMD aurait pu affirmer que la vulnérabilité était « hors de portée » de son programme de prime aux bogues, bien que cela semble peu probable étant donné que la fonctionnalité de mise à jour automatique est explicitement incluse dans la portée du programme. Une autre possibilité est qu'AMD ait considéré la vulnérabilité comme une copie d'un problème signalé précédemment, bien qu'aucun rapport antérieur de ce type n'ait été documenté.

Point de vue du chercheur

Le chercheur, qui a demandé à rester anonyme, a exprimé sa frustration face à la décision d'AMD. "J'ai suivi avec précision leur processus de divulgation, j'ai soigneusement documenté la vulnérabilité et j'ai attendu patiemment qu'ils y répondent", ont-ils déclaré. "Après 124 jours de travail de bonne foi avec eux, je m'attendais à ce qu'ils respectent les directives publiées et paient la prime qu'ils avaient promise pour les vulnérabilités critiques de cette nature."

Le chercheur a également indiqué qu'il avait fourni une preuve de concept détaillée et des suggestions de correction, qui auraient été mises en œuvre dans le correctif final. "Il ne s'agissait pas d'un problème théorique : il s'agissait d'une vulnérabilité réelle et exploitable que je les ai aidés à corriger avant qu'elle ne puisse être utilisée par des acteurs malveillants."

Réaction de l'industrie et implications plus larges

L'incident a suscité les critiques de chercheurs en sécurité et de professionnels de l'industrie qui plaident en faveur d'engagements plus forts en faveur de programmes de divulgation responsable. Beaucoup soutiennent que des entreprises comme AMD devraient respecter leurs directives de primes publiées afin de maintenir la confiance dans la communauté des chercheurs en sécurité.

"Les programmes de Bug Bounty reposent sur la confiance", a commenté le Dr Elena Rodriguez, chercheuse en cybersécurité avec plus de 15 ans d'expérience. "Lorsque les entreprises ne versent pas de primes pour des vulnérabilités valides qui répondent à leurs critères énoncés, cela décourage les recherches futures et met les utilisateurs en danger. Si AMD veut bénéficier de l'intelligence collective de la communauté de la sécurité, elle doit honorer ses engagements."

Le paysage des risques liés aux mises à jour automatiques

Les vulnérabilités des mises à jour automatiques représentent un vecteur de menace important dans le paysage logiciel actuel. Les attaquants ciblent de plus en plus ces mécanismes car ils fournissent un point d'entrée privilégié dans les systèmes et contournent souvent les contrôles de sécurité traditionnels.

Ces dernières années, plusieurs vulnérabilités de mise à jour automatique très médiatisées ont été constatées au sein de grandes entreprises technologiques, notamment des incidents affectant Microsoft, Apple et Google. Ces vulnérabilités ont tout rendu possible, depuis la distribution de logiciels malveillants jusqu'aux menaces persistantes avancées ciblant les infrastructures critiques.

Bonnes pratiques en matière de divulgation des vulnérabilités

Le cas AMD met en évidence plusieurs considérations importantes pour les organisations et les chercheurs en sécurité :

• Directives claires du programme : les entreprises doivent publier des critères détaillés et sans ambiguïté pour l'éligibilité aux primes.
• Communication réactive : les organisations doivent maintenir une communication régulière avec les chercheurs tout au long du processus de divulgation
• Délai réalistes : les vulnérabilités critiques doivent être corrigées dans des délais raisonnables, généralement 30 à 90 jours.
• Respect des engagements : les entreprises devraient payer des primes pour les vulnérabilités qui répondent aux critères publiés.
• Transparence : les organisations doivent être transparentes concernant leurs processus de mise à jour des correctifs et toute modification apportée aux programmes de primes

Bonnes pratiques des chercheurs

Pour les chercheurs en sécurité, cette affaire souligne l'importance de :

• Documentation complète : fourniture de détails complets sur la vulnérabilité, y compris une preuve de concept
• Suivre les directives du programme : adhérer strictement au processus de divulgation de l'organisation
• Patience et professionnalisme : Maintenir une communication professionnelle tout au long du processus
• Conserver des registres : documenter toutes les communications et la chronologie des événements

Conclusion : L'avenir des programmes de Bug Bounty

L'affaire AMD constitue un avertissement sur l'importance de l'intégrité dans les programmes de divulgation des vulnérabilités. À mesure que les logiciels deviennent de plus en plus complexes et interconnectés, le rôle des chercheurs indépendants en sécurité dans l'identification et la correction des vulnérabilités devient plus critique que jamais.

Les entreprises qui ne respectent pas leurs engagements envers les chercheurs en sécurité risquent de perdre l'accès à une expertise précieuse qui pourrait prévenir des incidents de sécurité dévastateurs. En revanche, les organisations qui maintiennent des programmes de bug bounty transparents, réactifs et équitables bénéficient de l'intelligence collective de la communauté de la sécurité, offrant ainsi une meilleure protection à leurs utilisateurs.

À mesure que le paysage de la cybersécurité continue d'évoluer, la relation entre les organisations et les chercheurs en sécurité jouera un rôle de plus en plus important dans le maintien de la sécurité des systèmes numériques. L'affaire AMD, bien que malheureuse, offre une opportunité de réflexion et d'amélioration sur la façon dont les programmes de divulgation des vulnérabilités et de récompense sont mis en œuvre dans l'ensemble du secteur.

AMD refuse au chercheur une prime de 10 000 $ après avoir corrigé une vulnérabilité critique de la mise à jour automatique. La faille de sécurité a mis 124 jours à être corrigée. Lire l'article complet #CyberSecurity #BugBounty #VulnerabilityDisclosure AMD refuse au chercheur une prime de bug de 10 000 $ après avoir corrigé une vulnérabilité critique de mise à jour automatique – la faille de sécurité a mis 124 jours à être corrigée. Lire l'article complet #CyberSecurity #BugBounty #VulnerabilityDisclosure