AMD wykryła krytyczną lukę w automatycznym systemie aktualizacji sterowników, jednak firma jej ignoruje

Zidentyfikowano lukę w systemie automatycznej aktualizacji sterowników AMD

Nowy badacz cyberbezpieczeństwa z Nowej Zelandii odkrył, że mechanizm pobierania komponentów oprogramowania w usłudze automatycznej aktualizacji sterowników AMD korzysta z niebezpiecznego kanału. Badanie zostało opublikowane tymczasowo, dopóki autor usuwał swój wpis.

Co dokładnie się dzieje

Gdy system wykrywa odpowiednią aktualizację, pobiera ją przez zwykłe połączenie HTTP. Otwiera to drzwi dla ataku „man-in-the-middle” (MITM): napastnik w tej samej sieci lub poza nią może zastąpić rzeczywisty zasób AMD swoim własnym, zmienić zawartość pliku podczas transmisji i nawet wprowadzić do niego szpiegowskie oprogramowanie lub ransomware z uprawnieniami administratora.

Odpowiedź AMD

Autor natychmiast zgłosił problem firmie. W odpowiedzi AMD otrzymało odrzucające pismo, w którym stwierdzono, że ataki typu MITM „wykraczają poza ich zakres odpowiedzialności”. Oznacza to, że naprawa błędu jest jeszcze nieznana i może nigdy się nie zdarzyć.

Kto ryzykuje

Ponieważ sterowniki AMD są używane w wielu komputerach na całym świecie, potencjalnie miliony systemów znajduje się pod zagrożeniem. Wielu użytkowników pozwala automatyczne łączenie z znanymi sieciami Wi‑Fi, co tylko pogarsza ryzyko.

Historia problemu

Dokładna data pojawienia się luki nie jest znana; jedna z wersji twierdzi, że istnieje od 2017 roku. Badacz odkrył konsolę na nowym komputerze do gier, śledził ścieżkę do komponentu automatycznej aktualizacji AMD, zdekompilował go i znalazł link, za pomocą którego program żąda listy dostępnych aktualizacji. Lista jest przesyłana przez HTTPS, ale same sterowniki pobierane są przez HTTP bez weryfikacji autentyczności serwera, integralności plików i ochrony przed modyfikacją.

Wnioski

* Automatyczna aktualizacja AMD pobiera sterowniki przez niebezpieczne HTTP.
* Napastnik może zastąpić plik i dodać złośliwe oprogramowanie z uprawnieniami administratora.
* AMD jeszcze nie potwierdza naprawy, a miliony użytkowników znajduje się w strefie ryzyka.