AMD: Statement zu vermeintlichen Sicherheitslücken

Die gestern von einem israelischen Unternehmen veröffentlichte Meldung über angeblich schwerwiegende Sicherheitslücken hat sich im Netz schnell verbreitet. Nun werden zunehmend Zweifel am Gehalt der Veröffentlichung laut. Nicht nur das Vorgehen, die Sicherheitslücken nur 24 Stunden nach dem Report an AMD zu veröffentlichen, hat für Kritik gesorgt, auch die nur oberflächliche Beschreibung der Fehler schürt Zweifel. Darüber hinaus scheinen sämtliche beschriebene Fehler einen Root-Zugang zum System zu benötigen, was Tavis Ormandy von Google mit den Worten kommentiert, dass Angreifer mit Root-Zugang das Spiel ohnehin schon gewonnen hätten.

Die Echtheit der Sicherheitslücken ist damit natürlich nicht geklärt, zumindest aber deutet viel darauf hin, dass das Unternehmen vor allem Aufmerksamkeit erregen wollte. Der Linux-Begründer Linus Trovalds bezeichnet das Unternehmen hinter der Veröffentlichung daher auch als "Aufmerksamkeitshure" („attention whore“).

AMD hat derweil ein offizielles Statement veröffentlicht, in dem das Vorgehen des Unternehmens hinterfragt wird. Zu den Sicherheitslücken selbst konnte AMD noch keine verlässliche Aussage tätigen. Man sei dabei, die gemeldeten Fehler zu analysieren.

Wir haben soeben einen Bericht von einem Unternehmen namens CTS Labs erhalten, in dem behauptet wird, dass es potenzielle Sicherheitslücken in Bezug auf bestimmte Prozessoren von uns gibt. Wir untersuchen und analysieren die Ergebnisse aktiv. Dieses Unternehmen war AMD bisher unbekannt, und wir finden es ungewöhnlich, dass ein Sicherheitsunternehmen seine Forschungsergebnisse in der Presse veröffentlicht, ohne dem Unternehmen eine angemessene Zeitspanne zur Verfügung zu stellen, um seine Ergebnisse zu untersuchen und zu bearbeiten. Bei AMD hat Sicherheit oberste Priorität, und wir arbeiten kontinuierlich daran, die Sicherheit unserer Anwender zu gewährleisten, wenn neue potenzielle Risiken entstehen. Wir werden diesen Blog aktualisieren, sobald es Neuigkeiten gibt.