AMD AutoUpdater: Come un'Anomalia Visiva ha Svelato un Serio Rischio di Sicurezza

Un'insolita finestra di prompt dei comandi che appariva sporadicamente su un computer desktop appena acquistato ha catturato l'attenzione di un analista di sicurezza indipendente. Paul, questo il nome con cui si è presentato, ha deciso di approfondire la questione, analizzando il meccanismo di aggiornamento automatico di AMD (AMD AutoUpdater) tramite tecniche di reverse engineering. I risultati della sua indagine hanno portato alla luce una vulnerabilità di classe RCE (Remote Code Execution, ovvero esecuzione di codice in modalità remota) potenzialmente sfruttabile tramite un attacco Man-in-the-Middle (MitM).

Il Difetto nel Processo di Aggiornamento

Esaminando i file di configurazione dell'AutoUpdater (come riportato anche da Tom's Hardware), l'analista ha scoperto che l'applicazione recuperava un file XML contenente i metadati sugli aggiornamenti disponibili tramite una connessione sicura HTTPS. Tuttavia, un'analisi approfondita ha rivelato che i link relativi agli eseguibili effettivi degli aggiornamenti facevano riferimento a URL che utilizzavano il protocollo HTTP non cifrato.

Il Rischio per l'Utente

Questa mancata cifratura nel trasferimento dei file eseguibili avrebbe permesso a un utente malintenzionato, posizionato sulla stessa rete della vittima e in grado di intercettare o manipolare il traffico web, di sostituire il pacchetto di aggiornamento legittimo con uno arbitrario e dannoso. Il software AutoUpdater, non verificando l'autenticità del file scaricato tramite una firma digitale, avrebbe eseguito il pacchetto alterato senza alcun controllo. Di fatto, ogni controllo automatico degli aggiornamenti si trasformava in un potenziale punto di ingresso per una compromissione del sistema.

Le Tappe della Segnalazione e la Reazione di AMD

Paul ha segnalato formalmente la vulnerabilità ad AMD il 6 febbraio 2026, utilizzando il programma ufficiale di bug bounty dell'azienda. Inizialmente, AMD ha classificato la segnalazione come non idonea per un premio in denaro (bounty), sostenendo che lo scenario dell'exploit (attacco MitM attivo) fosse fuori dall'ambito formalmente coperto dal programma, nonostante una vulnerabilità RCE di questa gravità avrebbe potuto qualificare l'analista per una ricompensa di 10.000 dollari.

Successivamente, il team di sicurezza interno di AMD ha rivalutato la segnalazione, riconoscendone la validità tecnica. L'azienda ha quindi informato Paul della sua intenzione di assegnare un identificativo CVE (Common Vulnerabilities and Exposures) alla falla, sviluppare una patch correttiva e attribuire pubblicamente a lui la scoperta, escludendo però qualsiasi forma di pagamento. In cambio, AMD ha richiesto all'analista di rimuovere temporaneamente l'analisi tecnica che aveva già pubblicato online. Paul ha accettato la richiesta, pur esprimendo in seguito rammarico per la decisione.

Per quanto riguarda i tempi di divulgazione, Paul ha proposto la finestra standard di 90 giorni per una disclosure coordinata. AMD ha però chiesto una proroga, motivandola con la necessità di coordinare le correzioni, poiché il problema non riguardava solo Ryzen Master, ma anche altri strumenti software del loro portafoglio. Una successiva richiesta di aggiornamento da parte dell'analista ha portato a un'ulteriore estensione, con AMD che ha citato la necessità di dare ai clienti il tempo di adottare le versioni corrette una volta rese disponibili. L'embargo ha così superato i 120 giorni, con AMD che ha infine comunicato la disponibilità della correzione per il 9 giugno, a 124 giorni dalla segnalazione iniziale.

La Soluzione Adottata e le Riserve dell'Analista

AMD ha comunicato di aver ridisegnato la funzionalità di aggiornamento automatico, spostandola dal programma di installazione (installer) all'applicazione principale e garantendo che tutte le connessioni utilizzino esclusivamente il protocollo HTTPS. Paul ha confermato che la nuova versione scarica i driver tramite connessioni cifrate. Tuttavia, ha sollevato una riserva tecnica sul metodo utilizzato per verificare l'integrità dei file scaricati: sembrerebbe basarsi su CRC-32, un algoritmo progettato per rilevare errori casuali di trasmissione, ma privo di proprietà crittografiche. Il CRC-32 non è in grado di proteggere da manipolazioni intenzionali effettuate da un attaccante motivato, a differenza di una firma digitale verificabile.

Un'Ironica Constatazione

Curiosamente, secondo quanto riportato da un utente su Reddit, il bug individuato da Paul potrebbe non essere mai stato concretamente sfruttabile. Sembra che la sezione di codice contenente la vulnerabilità non venisse nemmeno richiamata, il che significa che il programma di aggiornamento automatico era difettoso a un livello fondamentale e non funzionava. Di conseguenza, AMD non avrebbe potuto aggiornare il programma utilizzando il meccanismo stesso di aggiornamento, rendendo necessario che gli utenti scaricassero manualmente la nuova versione.

Il Messaggio al Settore della Sicurezza

Rimane irrisolta la questione del riconoscimento economico per l'analista. Nonostante AMD abbia confermato la validità della segnalazione, corretto il problema e attribuito pubblicamente la scoperta a Paul, non ha corrisposto alcuna ricompensa. Questa decisione rischia di lanciare un messaggio ambiguo alla comunità dei ricercatori di sicurezza: una vulnerabilità può essere considerata sufficientemente grave da richiedere una patch e un CVE, ma non abbastanza seria da essere premiata attraverso il programma di bug bounty creato proprio per incentivare e riconoscere tali sforzi.