Một nhà nghiên cứu bảo mật vừa phát hiện lỗ hổng Remote Code Execution (RCE) trong phần mềm AMD AutoUpdate. Lỗi này cho phép kẻ tấn công trên cùng mạng nội bộ, hoặc thậm chí là một quốc gia có quyền truy cập vào nhà mạng, chèn mã độc vào bản cập nhật mà không cần bất kỳ xác thực chữ ký số nào.

Lỗ hổng bắt nguồn từ đâu?

Theo blog của nhà nghiên cứu, AMD sử dụng giao thức HTTP thay vì HTTPS cho các đường dẫn tải file thực thi (.exe, .dll) trong tệp cấu hình XML. Kết hợp với việc không kiểm tra chữ ký số của file tải về, kẻ tấn công có thể thực hiện MITM (Man-in-the-Middle), giả mạo máy chủ, thay file cập nhật bằng mã độc. Điều này đặc biệt nguy hiểm với người dùng trong môi trường công cộng như quán net, khách sạn hay sân bay.

AMD phản hồi thế nào?

Ban đầu, chương trình bug bounty của AMD thông qua nền tảng Intigriti từ chối báo cáo vì cho rằng MITM nằm ngoài phạm vi. Tuy nhiên, sau khi câu chuyện lan truyền trên Hacker News, đội PSIRT của AMD (Product Security Incident Response Team) đã chủ động liên hệ, cho biết vẫn đang rà soát nội bộ và sau đó sẽ cấp CVE cùng bản vá. Nhà nghiên cứu cũng sẽ được ghi nhận với tư cách nhà nghiên cứu bảo mật.

Bài học cho người dùng

Vụ việc cho thấy ngay cả phần mềm từ các hãng lớn như AMD cũng có thể chứa lỗ hổng bảo mật cơ bản. Người dùng nên chủ động cập nhật driver qua trang chủ, tránh dùng mạng Wi-Fi công cộng khi tải bản vá. Lỗi này cũng là hồi chuông cảnh tỉnh về tầm quan trọng của việc xác thực chứng chỉ và chữ ký số trong quy trình cập nhật tự động.