弱点

1脆弱なライブラリ

Odoo プロジェクトは、Blipit モジュールがすでに送信しているモジュール一覧でカバーされます。セキュリティ修正が提供されなくなったシリーズや、古いシリーズのままの標準モジュールが対象です。その他のアプリでは、PUT https://in.blipit.io/api/v1/sdk/packages でパッケージ一覧を送信します。ヘッダー X-Blipit-Key にシークレットキーを、ボディに {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} を指定します（エコシステムは npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL、最大 3,000 件）。アップロードのたびに以前の一覧が置き換えられます。Blipit は数分以内に、その後は毎日、各バージョンを OSV データベースと照合し、アドバイザリ、その深刻度、修正済みバージョンを表示します。

2露出チェック

Blipit は 1 日 1 回、稼働状況で監視しているすべてのドメイン（HTTP、SSL、ドメインモニター、ワークスペースごとに最大 20 件）をチェックします。TLS 証明書の有効期限（残り 14 日未満で警告）と TLS 1.0 または 1.1 がまだ受け入れられているか、6 つのセキュリティヘッダー（HSTS, Content-Security-Policy、フレーム保護、X-Content-Type-Options, Referrer-Policy, Permissions-Policy）の評価、/.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php、/wp-config.php.bak をダウンロードできるか（任意のページではなく、内容がそのファイルと一致する 200）、トップページ自身の JavaScript バンドル内のシークレット API キー、そしてメインドメインの SPF と DMARC です。リクエストは GET を使い、タイムアウトは短く、間隔を空けて送信され、Blipit-SecurityCheck として名乗り、別のホストへのリダイレクトには決して従わず、プライベートアドレスには決して到達しません。

3スコアと優先修正

各プロジェクトは 100 から始まります。未解決の脆弱性は 25（重大）、15（高）、5（中または未評価）、2（低）を差し引き、合計で最大 60 です。失敗したチェックはそれぞれ最大 30 を差し引き（公開された .env、.git、設定のバックアップ、または漏洩したキー）、警告はそれより少なくなります。過去 7 日間の未解決のセキュリティアラートはそれぞれ 3、最大 15 を差し引きます。「優先修正」には最も影響の大きい 5 項目が表示されます。ドメインは、そのプロジェクトの Odoo インスタンスのホストである場合、またはワークスペースにプロジェクトが 1 つしかない場合に、そのプロジェクトに計上されます。

4アラートと週次メール

新たな高または重大な脆弱性、新たに公開されたファイル、漏洩したキーは、アラートチャネルを通じてセキュリティアラートを 1 回発生させます。ワークスペースのオーナーは、スコアと優先修正リストを含む週次のセキュリティメールを受け取ることもできます。「設定」でオフにできます。

知っておくと便利

• 監視中のドメインだけを対象にする理由：稼働状況にドメインを追加することが、ワークスペースがそのドメインを所有していることを示す方法だからです。Blipit は、ワークスペースの誰も監視していないドメインを決してチェックしません。
• 漏洩したキーはマスクして表示されます。Blipit が完全なキーを保存することはありません。
• OSV には Odoo コアのアドバイザリが掲載されていないため、Odoo コアはサポート状況によって判断されます。