AMD、研究者に1万ドルのバグ報奨金を支払わず

AMDの自動更新プログラムに、HTTP接続を介してソフトウェアをダウンロードする際にリモートコード実行を可能にする重大な脆弱性が発見された。この脆弱性を発見した研究者は1万ドルの報奨金を期待していたが、AMDは4ヶ月後に問題を修正したものの、報奨金の支払いを拒否した。AMDは、中間者攻撃はポリシー除外の対象であると主張した。さらに、修正されたソフトウェアは依然としてCRC32チェックサムでファイルを検証しており、これは現代のセキュリティ基準では不十分であると指摘されている。この一件は、大手ベンダーがセキュリティ問題への対応、研究者への報奨金支払い回避、根本的な脆弱性の放置といった対応を行う実態を浮き彫りにしている。