Schwachstellen

1Verwundbare Bibliotheken

Odoo-Projekte werden über die Modulliste abgedeckt, die das Blipit-Modul bereits sendet: eine Serie, die keine Sicherheitsupdates mehr erhält, und Standardmodule, die noch auf einer älteren Serie laufen. Für andere Apps senden Sie die Paketliste per PUT https://in.blipit.io/api/v1/sdk/packages, mit dem Header X-Blipit-Key mit dem geheimen Schlüssel und dem Body {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} (Ökosysteme npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL; höchstens 3.000). Jeder Upload ersetzt die vorherige Liste. Blipit prüft jede Version innerhalb weniger Minuten und danach täglich gegen die OSV-Datenbank und zeigt den Hinweis, seinen Schweregrad und die Version, die ihn behebt.

2Expositionsprüfungen

Einmal am Tag prüft Blipit jede Domain, die Sie in Uptime überwachen (HTTP-, SSL- und Domain-Monitore, bis zu 20 pro Workspace): den Ablauf des TLS-Zertifikats (Warnung unter 14 Tagen) und ob TLS 1.0 oder 1.1 noch akzeptiert wird, eine Bewertung von sechs Sicherheits-Headern (HSTS, Content-Security-Policy, Frame-Schutz, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), ob /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php oder /wp-config.php.bak heruntergeladen werden können (ein 200, dessen Inhalt zur Datei passt, nicht irgendeine Seite), geheime API-Schlüssel in den eigenen JavaScript-Bundles der Startseite sowie SPF und DMARC auf der Hauptdomain. Die Anfragen nutzen GET, kurze Timeouts und eine Pause dazwischen, identifizieren sich als Blipit-SecurityCheck, folgen nie einer Weiterleitung auf einen anderen Host und erreichen nie private Adressen.

3Score und Zuerst beheben

Jedes Projekt beginnt bei 100. Offene Sicherheitslücken ziehen 25 (kritisch), 15 (hoch), 5 (mittel oder nicht bewertet) oder 2 (niedrig) ab, insgesamt höchstens 60. Fehlgeschlagene Prüfungen ziehen jeweils bis zu 30 ab (eine öffentliche .env, .git oder Konfigurationssicherung oder ein geleakter Schlüssel), Warnungen weniger. Offene Sicherheits-Alerts der letzten 7 Tage ziehen jeweils 3 ab, höchstens 15. Zuerst beheben listet die fünf Punkte, die am meisten kosten. Eine Domain zählt für ein Projekt, wenn sie der Host seiner Odoo-Instanz ist oder wenn der Workspace nur ein Projekt hat.

4Alerts und die wöchentliche E-Mail

Eine neue hohe oder kritische Sicherheitslücke, eine neu offengelegte Datei oder ein geleakter Schlüssel löst einmalig einen Sicherheits-Alert über Ihre Alert-Kanäle aus. Workspace-Inhaber können außerdem eine wöchentliche Sicherheits-E-Mail mit dem Score und der Zuerst-beheben-Liste erhalten; deaktivieren Sie sie in den Einstellungen.

Gut zu wissen

• Warum nur überwachte Domains: Indem ein Workspace eine Domain zu Uptime hinzufügt, zeigt er, dass sie ihm gehört. Blipit prüft nie eine Domain, die niemand im Workspace überwacht.
• Geleakte Schlüssel werden maskiert angezeigt; Blipit speichert nie den vollständigen Schlüssel.
• OSV führt keine Hinweise zum Odoo-Kern, daher wird der Odoo-Kern nach seinem Support-Status beurteilt.