AMD는 심각한 자동 업데이트 취약점을 패치하는 데 124일이 소요된 후 연구원에게 $10,000의 버그 현상금을 거부했습니다.

사이버 보안 커뮤니티 내에서 논쟁을 불러일으킨 조치로 AMD는 회사의 자동 업데이트 소프트웨어에서 심각한 취약점을 발견한 연구원에게 버그 포상금 10,000달러를 지불하는 것을 거부했습니다. 최초 공개 후 패치하는 데 124일이 걸린 보안 결함은 AMD의 취약성 공개 프로그램과 제품 보안 개선에 도움을 주는 보안 연구원을 보상하겠다는 약속에 대한 의문을 제기했습니다.

취약성: 심각한 자동 업데이트 프로그램의 결함

신원이 밝혀지지 않은 연구원은 소프트웨어 업데이트를 자동으로 다운로드하고 설치하는 구성 요소인 AMD의 자동 업데이트 메커니즘에서 심각한 취약점을 발견했습니다. 자동 업데이트 취약점은 공격자가 악용하여 악성 소프트웨어를 전달하거나, 임의 코드를 실행하거나, 사용자 개입 없이 시스템에 무단으로 액세스할 수 있다는 점에서 특히 우려됩니다.

연구원의 보고서에 따르면 이 결함으로 인해 공격자는 중간자(MitM) 공격을 수행하여 잠재적으로 합법적인 업데이트 패키지를 가로채고 수정할 수 있습니다. 이로 인해 영향을 받는 시스템에 멀웨어가 설치되거나 무단 펌웨어 수정이 발생할 수 있습니다.

사건 타임라인: 발견부터 해결까지

일련의 이벤트는 취약점 공개 및 해결의 복잡한 프로세스를 강조합니다.

• 0일차: 연구원이 공식 버그 현상금 프로그램을 통해 AMD에 취약점을 발견하고 비공개로 보고합니다.
• 1~30일: 취약점이 조사 중이라는 확인과 함께 AMD의 최초 승인
• 31~90일: AMD의 제한된 의사소통, 명확한 해결 일정 없음
• 91~120일: 연구원은 해결 시간이 길어지는 것에 대한 우려를 표명하면서 여러 차례 후속 조치를 취했습니다.
• 124일차: AMD는 취약점을 해결하는 보안 업데이트를 출시합니다.
• 패치 후: 연구원은 AMD가 게시한 프로그램 지침에 따라 $10,000 현상금을 신청합니다.
• 최종 결정: AMD는 명시된 기준을 충족하는 취약점에도 불구하고 포상금 지급을 거부했습니다.

AMD의 버그 바운티 프로그램: 지침 및 적용

AMD는 보안 문제를 발견하고 책임감 있게 보고하는 연구원을 위한 재정적 인센티브가 포함된 취약성 공개 프로그램(VDP)을 운영합니다. Bugcrowd 플랫폼을 통해 관리되는 이 프로그램은 발견된 취약점의 심각도에 따라 다양한 포상금을 제공합니다.

공개적으로 이용 가능한 정보에 따르면, 자동 업데이트 기능에 영향을 미치는 심각한 취약점은 일반적으로 $10,000라는 가장 높은 현상금 등급을 받을 자격이 있습니다. 프로그램에는 심각도 기준을 충족하는 유효한 취약점을 보고한 연구자에게 보상이 제공될 것이라고 명시되어 있습니다.

심각도	포상금 금액	기준
심각	10,000달러	원격 코드 실행, 권한 상승 또는 전체 시스템 손상
높음	$5,000	보안 메커니즘 우회, 민감한 데이터 노출
중간	$2,500	일부 기능 우회, 정보 공개
낮음	$500	사소한 보안 문제, 서비스 거부 조건

논란의 여지가 있는 결정: AMD의 입장

취약점이 10,000달러의 현상금 기준을 분명히 충족했음에도 불구하고 AMD는 연구원에 대한 응답에서 불특정 이유를 언급하며 지불을 거부했습니다. 회사는 특정 사건에 대해 공개적으로 언급하지 않았으며 연구원과의 사적인 대화 외에 침묵을 유지했습니다.

업계 전문가들은 AMD가 취약점이 버그 보상 프로그램의 "범위 밖"이라고 주장했을 수도 있다고 추측하지만, 자동 업데이트 기능이 프로그램 범위에 명시적으로 포함되어 있다는 점을 고려할 때 그럴 가능성은 낮아 보입니다. 또 다른 가능성은 AMD가 해당 취약점을 이전에 보고된 문제와 중복되는 것으로 간주했지만 그러한 사전 보고서는 문서화되지 않았다는 것입니다.

연구원의 관점

익명을 요청한 연구원은 AMD의 결정에 불만을 표시했습니다. "나는 그들의 공개 프로세스를 정확하게 따르고 취약점을 철저하게 문서화했으며 그들이 문제를 해결할 때까지 참을성 있게 기다렸습니다."라고 그들은 말했습니다. "124일 동안 선의로 협력한 후 저는 그들이 발표된 지침을 존중하고 이러한 성격의 심각한 취약점에 대해 약속한 보상금을 지불할 것으로 기대했습니다."

또한 연구원은 최종 패치에서 구현된 것으로 알려진 상세한 개념 증명 및 수정 제안을 제공했다고 언급했습니다. "이것은 이론적인 문제가 아니었습니다. 악의적인 행위자가 무기화하기 전에 제가 해결하도록 도와준 실제적이고 악용 가능한 취약점이었습니다."

업계의 반응과 광범위한 시사점

이 사건은 책임 있는 공개 프로그램에 대한 더 강력한 약속을 옹호하는 보안 연구원과 업계 전문가로부터 비판을 불러일으켰습니다. 많은 사람들은 AMD와 같은 회사가 보안 연구 커뮤니티에 대한 신뢰를 유지하기 위해 발표된 포상금 지침을 존중해야 한다고 주장합니다.

15년 이상의 경험을 보유한 사이버 보안 연구원인 Elena Rodriguez 박사는 "버그 포상금 프로그램은 신뢰를 바탕으로 구축되었습니다."라고 말했습니다. "기업이 명시된 기준을 충족하는 유효한 취약점에 대해 포상금을 지불하지 못하면 향후 연구를 방해하고 사용자를 위험에 빠뜨리게 됩니다. AMD가 보안 커뮤니티의 집단 지성으로부터 이익을 얻으려면 약속을 지켜야 합니다."

자동 업데이트 위험 환경

자동 업데이트 취약점은 오늘날의 소프트웨어 환경에서 중요한 위협 벡터를 나타냅니다. 이러한 메커니즘은 시스템에 대한 특권적인 진입점을 제공하고 종종 기존 보안 제어를 우회하기 때문에 공격자들의 표적이 점점 더 늘어나고 있습니다.

최근 몇 년간 Microsoft, Apple, Google에 영향을 미치는 사건을 포함하여 주요 기술 회사 전반에 걸쳐 여러 가지 주목할만한 자동 업데이트 취약점이 발견되었습니다. 이러한 취약점으로 인해 악성 코드 배포부터 중요한 인프라를 표적으로 하는 지능형 지속 위협까지 모든 것이 가능해졌습니다.

취약성 공개 모범 사례

AMD 사례는 조직과 보안 연구원 모두에게 몇 가지 중요한 고려 사항을 강조합니다.

• 명확한 프로그램 지침: 기업은 포상금 자격에 대한 상세하고 명확한 기준을 게시해야 합니다.
• 반응적 의사소통: 조직은 공개 프로세스 전반에 걸쳐 연구자들과 정기적인 의사소통을 유지해야 합니다.
• 현실적인 기간: 심각한 취약점은 합리적인 기간(일반적으로 30~90일) 내에 해결되어야 합니다.
• 약속 존중: 기업은 공개된 기준을 충족하는 취약점에 대해 포상금을 지불해야 합니다.
• 투명성: 조직은 패치 프로세스와 포상금 프로그램의 변경 사항을 투명하게 공개해야 합니다.

연구원 모범 사례

보안 연구자들에게 이 사례는 다음의 중요성을 강조합니다:

• 철저한 문서화: 개념 증명을 포함하여 취약점에 대한 포괄적인 세부정보 제공
• 프로그램 지침 준수: 조직의 공개 프로세스를 엄격하게 준수
• 인내심과 전문성: 프로세스 전반에 걸쳐 전문적인 의사소통 유지
• 기록 보관: 모든 의사소통 및 사건 타임라인 문서화

결론: 버그 바운티 프로그램의 미래

AMD 사례는 취약점 공개 프로그램에서 무결성의 중요성에 대한 경고의 역할을 합니다. 소프트웨어가 점점 더 복잡해지고 상호 연결됨에 따라 취약점을 식별하고 해결하는 독립적인 보안 연구원의 역할이 그 어느 때보다 중요해지고 있습니다.

보안 연구원에 대한 약속을 지키지 못하는 기업은 심각한 보안 사고를 예방할 수 있는 귀중한 전문 지식에 대한 액세스를 상실할 위험이 있습니다. 이와 대조적으로, 투명하고 대응적이며 공정한 버그 포상금 프로그램을 유지하는 조직은 보안 커뮤니티의 집단 지성의 혜택을 받아 궁극적으로 사용자에게 더 나은 보호를 제공합니다.

사이버 보안 환경이 계속 발전함에 따라 조직과 보안 연구원 간의 관계는 디지털 시스템의 보안을 유지하는 데 점점 더 중요한 역할을 하게 될 것입니다. 불행하게도 AMD 사례는 업계 전반에 걸쳐 취약성 공개 및 보상 프로그램이 구현되는 방식에 대한 반성과 개선의 기회를 제공합니다.

AMD는 중요한 자동 업데이트 취약성을 수정한 후 연구원에게 10,000달러의 버그 포상금을 거부했습니다. 보안 결함을 패치하는 데 124일이 걸렸습니다. 전체 기사 읽기 #CyberSecurity #BugBounty #VulnerabilityDisclosure AMD는 중요한 자동 업데이트 취약점을 수정한 후 연구원에게 10,000달러의 버그 현상금을 거부했습니다. 보안 결함을 패치하는 데 124일이 걸렸습니다. 전체 기사 읽기 #CyberSecurity #BugBounty #VulnerabilityDisclosure