App Inventory + CVE

O App Inventory consolida em uma tela todos os apps instalados na frota e cruza cada um com a base pública NIST NVD (National Vulnerability Database) para sinalizar vulnerabilidades conhecidas.

Aberta em /app-inventory.

O que a tela mostra

• KPIs: total de pacotes instalados, quantos foram scaneados, quantos têm CVE

• Tabela com uma linha por packageName:

  • Nome do app + ícone

  • Contagem de instalações na frota

  • Versões em uso

  • Estado: Not scanned / Pending scan / Clean / N CVEs

  • Pior CVE (severidade + CVSS score)

Filtros

• Vulnerable — só apps com CVE ativa

• Scanned — apps já verificados contra o NVD

• Not scanned — apps que estão fora da cobertura curada

• All

Drill-down

Clicar em "Details" abre a lista completa de CVEs do app com:

• ID (link direto pra nvd.nist.gov)

• Severidade (CRITICAL / HIGH / MEDIUM / LOW)

• Score CVSS

• Descrição

• Devices afetados na organização com a versão instalada

Coverage e honestidade

Só apps com mapeamento CPE (Common Platform Enumeration) conhecido são scaneados. Pacotes sem mapeamento aparecem como Not scanned — o RMM não afirma "no known CVEs" para pacotes que não conseguimos verificar contra o NVD.

A cobertura curada inclui:

• Browsers: Chrome, Firefox, Edge, Brave, Opera, Samsung Internet

• Chat / vídeo: WhatsApp, Telegram, Discord, Zoom, Teams, Webex

• Email: Gmail, Outlook

• Office: Word, Excel, PowerPoint, Office Hub, Google Docs/Sheets/Drive

• Password managers: 1Password, LastPass, Bitwarden

• VPN: WireGuard, OpenVPN, NordVPN

• Cloud storage: Dropbox, OneDrive

• Devtools: Termux

• Outros: Slack, Signal, Adobe Reader, Zoiper

Frequência de atualização

Um worker em background refaz o cross-reference com o NVD diariamente. Um cliente empresarial pode pedir refresh mais frequente configurando uma chave da NVD via variável de ambiente NVD_API_KEY (aumenta a rate limit do NVD de 5 → 30 requisições / 30s).

Como usar isso na prática

• Após um Patch Tuesday, filtre por Vulnerable + severidade HIGH/CRITICAL e feche as versões afetadas via política.

• Combine com o Managed Play — se um app aparece com CVE crítica e está no seu catálogo, force a atualização (ou bloqueie).

• Cruze com Trust Score — devices com apps vulneráveis descem de banda.