«Ред Софт» подвела итоги первого этапа программы поиска уязвимостей в системе управления базами данных (СУБД) «Ред База Данных». За год независимые исследователи направили 144 отчета, 75 из которых подтвердились и были приняты в работу. Общая сумма вознаграждений участникам превысила 3 млн рублей.
Тестирование проходило на платформе Standoff Bug Bounty: 11 месяцев программа действовала в закрытом режиме, еще месяц — в открытом. Из 75 подтвержденных уязвимостей пять отнесли к критическому уровню опасности, 40 — к высокому, 15 — к среднему и 15 — к низкому. Еще 42 отчета отклонили, поскольку проблемы не подтвердились или не соответствовали условиям программы, а 27 оказались дубликатами.
Общий фонд выплат составил 3,01 млн рублей. Больше всех заработал исследователь под псевдонимом Bearsec — его вознаграждение достигло 1,33 млн рублей.
По данным компании, выявленные проблемы устраняют как в ядре «Ред База Данных», так и в Firebird. Программа продолжится, прием новых отчетов остается открытым.
«Ред База Данных» сертифицирована ФСТЭК России по 4-му классу защиты и 4-му уровню доверия. В системе предусмотрены, в частности, шифрование данных по ГОСТ, многофакторная аутентификация и механизмы защиты от SQL-инъекций.