РЕД СОФТ выплатил более 3 млн рублей за поиск уязвимостей в РЕД Базе Данных

РЕД СОФТ подвел итоги первого этапа программы поиска уязвимостей в рамках платформы Standoff Bug Bounty. Независимые исследователи обнаружили в системе управления базами данных «СУБД РЕД База данных» 75 недостатков безопасности, а компания выплатила за подтвержденные находки 3 010 000 рублей.

Максимальное вознаграждение одному участнику составило 1,33 млн рублей. Всего исследователи направили в РЕД СОФТ 144 отчета о потенциальных уязвимостях. После проверки к исправлению приняли 75 из них.

Распределение уязвимостей по уровню опасности

Пять подтвержденных проблем получили критический уровень опасности. Еще 40 уязвимостей отнесли к высокому уровню, а 30 — к среднему и низкому. В ходе тестирования специалисты применяли многоступенчатые сценарии атак и комбинировали разные техники эксплуатации.

Программа стартовала в приватном формате: первые 11 месяцев к ней допускали только приглашенных исследователей. Затем РЕД СОФТ открыл тестирование для всех зарегистрированных участников Standoff Bug Bounty. Сейчас любой такой участник может проверять защищенность «СУБД РЕД База данных» и претендовать на вознаграждение за подтвержденные уязвимости.

«РЕД База Данных» — российская система управления базами данных, сертифицированная ФСТЭК России по 4-му классу защиты и 4-му уровню доверия. В продукте предусмотрены шифрование данных, многофакторная аутентификация и контроль целостности.

По словам заместителя директора дивизиона системного ПО РЕД СОФТ Романа Симакова, привлечение сообщества этичных хакеров позволяет оценивать архитектуру продукта не только в рамках классического аудита. Отчеты исследователей помогают находить скрытые дефекты и снижать риск инцидентов в критически важных информационных системах.

Обнаруженные проблемы устраняют как в ядре РЕД Базы Данных, так и в используемом в ее составе Firebird. В компании рассматривают bug bounty как часть процесса разработки безопасного программного обеспечения: по мере появления новых функций и изменений кода могут возникать новые риски, которые независимые исследователи помогают выявлять до того, как ими воспользуются злоумышленники.

Руководитель Standoff Bug Bounty Роман Приходько отметил, что тестирование сложных продуктов, включая системы управления базами данных, требует специализированных знаний. По его словам, на платформе есть исследователи с необходимой экспертизой, способные анализировать такие продукты и их код.

Программа РЕД СОФТ на Standoff Bug Bounty продолжает работать в публичном формате. Условия участия и разрешенная область тестирования опубликованы на странице программы.