Intel се опита да смекчи или отложи публикуването на уязвимостите MDS с 'награда' от 120 000 долара

Нашите колеги от сайта TechPowerUP с позоваване на публикация в холандската преса съобщават, че компанията Intel е опитала да подкупи изследователите, открили уязвимости MDS. Уязвимостите от типа microarchitectural data sampling (MDS), които извличат данни от микроархитектурата, бяха открити в процесорите на Intel, предложени на пазара през последните 8 години. Уязвимостите бяха открити от специалисти по сигурността от Свободния университет на Амстердам (Vrije Universiteit Amsterdam, VU Amsterdam). Според публикацията в Nieuwe Rotterdamsche Courant, компанията Intel е предложила на изследователите "награда" от $40,000 и допълнителни $80,000 за "успокоение на заплахата" от откритата "дупка". Изследователите, продължава източникът, са отказали всичките тези пари.

Всъщност, Intel не направи нищо особено. След откритията на уязвимостите Spectre и Meltdown, компанията стартира програма за парично възнаграждение Bug Bounty за тези, които открият опасна уязвимост в платформите на Intel и уведомят компанията. Допълнителното и задължително условие за получаване на възнаграждението е, че за уязвимостта не трябва да знае никой, освен специално назначените хора от Intel. По този начин Intel получава време за премахване на заплахата – тя създава пачове и си взаимодействи с разработчиците на операционни системи и производители на компоненти, например, предоставяйки код за корекции в BIOS на дънните платки.

В случая с открития клас уязвимости MDS, Intel практически нямаше време за бързо премахване на заплахата. Въпреки че пачовете почти успяха преди съобщението за откритията на новите уязвимости, Intel не успя с пълното обновление на микрокода на процесорите, и тези процедури все още предстоят. Малко вероятно е компанията да е планирала да скрие "заплахата" чрез подкуп, открит от екипа на VU Amsterdam, но определено е успяла да си купи време за маневри.

Източник: 3dnews.ru