PS5, vulnerabilità all’hypervisor: Sony paga 50.000 dollari

Sony ha versato 50.000 dollari al ricercatore noto come Jordy, autore della segnalazione privata di una grave falla nella sicurezza di PlayStation 5.

La scoperta è stata comunicata tramite HackerOne, il servizio scelto dall’azienda per raccogliere le segnalazioni dei ricercatori. Jordy ha spiegato di aver impiegato anche strumenti di intelligenza artificiale durante l’analisi del problema, un elemento che ha alimentato il dibattito nella comunità impegnata nello sviluppo di software alternativi per la console.

La decisione di segnalare la falla

Secondo il racconto di Jordy, un’altra persona era riuscita a individuare lo stesso difetto con l’aiuto di sistemi basati sull’intelligenza artificiale. Il ricercatore ha quindi temuto che la vulnerabilità potesse essere comunicata prima da qualcun altro, facendogli perdere la ricompensa prevista dal programma di Sony.

La scelta ha provocato la reazione di Andy Nguyen, conosciuto come TheFlow, che aveva già individuato il problema. Nguyen avrebbe preferito rinviare la segnalazione fino alla pubblicazione di GTA 6, per consentire ai possessori di console interessati di aggiornare il dispositivo, acquistare il gioco e conservare in seguito la possibilità di utilizzare Linux.

Che cosa permetteva il difetto

Il problema riguardava l’hypervisor della PS5, il componente incaricato di isolare il sistema operativo e di regolare l’accesso alle risorse hardware più delicate. Sfruttando la falla, era possibile avviare Linux su varie versioni della console.

Sony ha distribuito il firmware 14.20 il 21 ottobre. L’aggiornamento avrebbe eliminato il difetto, rendendo inutilizzabile il metodo che consentiva l’esecuzione del sistema operativo alternativo.

Il premio previsto da Sony

I 50.000 dollari corrispondono al compenso massimo stabilito per le vulnerabilità classificate come critiche. Il programma di ricerca sulla sicurezza di PlayStation è stato aperto al pubblico nel 2020, con l’obiettivo di incentivare la comunicazione privata dei problemi prima della loro diffusione.

La vicenda ha avuto conseguenze anche sul progetto Linux per PS5. Nguyen ha annunciato che non proseguirà lo sviluppo e ha criticato il ricorso crescente ai modelli generativi nelle attività di ricerca delle falle.

Jordy ha difeso il proprio comportamento sostenendo che, dopo essere stata scoperta da più persone, la vulnerabilità avrebbe avuto poche probabilità di rimanere riservata ancora a lungo. Il caso evidenzia così l’effetto degli strumenti capaci di analizzare il codice e proporre direzioni d’indagine: la ricerca può diventare più rapida, ma gli exploit conosciuti da un gruppo ristretto rischiano di non restare segreti per molto tempo.