SolverWeb: сканер уязвимостей
Модуль следит за безопасностью установленных модулей Bitrix. Он собирает список всех установленных модулей, их идентификаторы и версии и отправляет эти данные во внешний API SolverWeb для
проверки. Исходный код сайта при этом не уходит и не анализируется.
Перед первой проверкой администратор должен поставить галочку согласия. Пока согласия нет, ни ручная проверка, ни ежедневный агент не отправят запрос. Отдельные модули можно исключить из проверки, если их данные передавать не нужно.
После ответа API модуль показывает понятную картину: где найдена уязвимость, для чего есть патч, какие решения сняты с публикации, какие модули не удалось найти в Marketplace и какие версии выглядят безопасными.
Уязвимости сверяются с реальной установленной версией, чтобы не пугать обновлённым модулем из-за старой записи в базе.
База проверки собирается по патч-нотайсам решений из Marketplace, а также по официальным источникам «1С-Битрикс»:
- Центр информирования о необходимых обновлениях (https://www.1c-bitrix.ru/vul/), где публикуются сведения об уязвимостях продуктов «1С-Битрикс».
- Реестр сторонних решений с выявленными уязвимостями (https://www.1c-bitrix.ru/vul_dev/), где указаны затронутые модули, опасные версии и рекомендации разработчиков.
Если обнаружена уязвимость, модуль создаёт уведомление в админке Bitrix. А для почты или Telegram он использует solverweb.logger: достаточно включить опцию уведомлений о найденных уязвимостях в Logger и настроить там
нужный канал. Тогда предупреждения попадают в space VulScanner и уходят по правилам, которые заданы в Logger.