Sicherheitslücke entdeckt: Sicherheitsforscher beklagt ausbleibende Belohnung von AMD
Ein Sicherheitsforscher namens Paul wirft AMD vor, keine Prämie für das Finden einer Sicherheitslücke zahlen zu wollen. Er selbst geht davon aus, dass er dafür eine Belohnung von 10.000 US-Dollar verdient hätte. Der 22-Jährige aus Neuseeland schildert den Fall aus seiner Sicht in einem Blogbeitrag(öffnet im neuen Fenster).
Er hatte Ende Januar 2026 nach eigener Aussage eine Sicherheitslücke in AMDs Update-Software bemerkt, die zur Ausführung von Programmcode in Form einer Man-in-the-Middle-Attacke hätte genutzt werden können. Paul habe die Sicherheitslücke Anfang Februar 2026 über das Bug-Bounty-Programm des Unternehmens an AMD gemeldet und den Fall durch eine Blogveröffentlichung bekannt gemacht.
Damit wollte er das Unternehmen dazu bewegen, den Fehler zu korrigieren, und eine Belohnung für das Finden des Fehlers der RCE-Klasse erhalten. AMD gab jedoch an, dass die Sicherheitslücke nicht die Anforderungen einer RCE-Klasse erfülle und es für den gefundenen Fehler keine Belohnung geben werde.
AMD bat sofort um eine Fristverlängerung
Paul selbst weist darauf hin, dass die Bedingungen des AMD-Bug-Bounty-Programms vorsehen, dass sämtliche Man-in-the-Middle-Attacken von einer Prämienzahlung ausgenommen sind. Dennoch meint er, dass er Anrecht auf eine Belohnung von 10.000 US-Dollar habe, da der Fehler entsprechend schwerwiegend sei.
Einen Tag nach der Blogveröffentlichung bat AMD darum, den Beitrag offline zu nehmen. Dafür wird branchenüblich eine Zeit von 90 Tagen eingeräumt. Aber AMD bat sofort um eine nicht näher spezifizierte Fristverlängerung, bis der Blogbeitrag wieder online gehen dürfe. Paul einigte sich mit AMD auf die Fristverlängerung und stimmte dabei auch der Nicht-Zahlung der Belohnung zu, betrachtet das allerdings mittlerweile als Fehler.
Nach 87 Tagen erkundigte er sich bei AMD nach dem aktuellen Status. Obwohl das Unternehmen versprochen hatte, Paul über den Fortschritt bei der Sache auf dem Laufenden zu halten, sei das nicht passiert. Er erklärte AMD, dass er den Fehler nach 100 Tagen wieder öffentlich machen werde. AMD bat erneut um Fristverlängerung, zunächst ohne Nennung einer Dauer.
Patch ist da
Erst später wurde der 9. Juni 2026 als Ende der Sperrfrist von AMD genannt. Mittlerweile waren 124 Tage vergangen. Am 12. Juni 2026 veröffentlichte AMD dann einen Patch für die Update-Software des Unternehmens. Paul sieht sich ungerecht behandelt. Er habe eng mit dem Unternehmen zusammengearbeitet, um den Fehler zu korrigieren, und immer wieder die Initiative ergriffen.
Nach Schilderungen eines Reddit-Nutzers(öffnet im neuen Fenster) hätte die von Paul gefundene Sicherheitslücke aufgrund eines Programmfehlers in AMDs Update-Software nicht ausgenutzt werden können. Paul überprüfte den Patch für die Update-Software und stellte dabei fest, dass die Software komplett überarbeitet wurde. Er weist darauf hin, dass heruntergeladene Dateien nur anhand eines veralteten CRC32-Hashwerts überprüft werden, der kryptografisch nicht mehr als sicher gilt.
Bisher ist von AMD keine Stellungnahme zu dem Vorfall bekannt.
- Anzeige Hier geht es zu AMD-Grafikkarten bei Alternate Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.