ARTEMIS CHANGELOG

Nelansat

Gateway · REST API

Verificarea țintelor

• SEC Protecția care oprește scanarea adreselor interne rezolvă numele de domeniu cu un termen fix și se poate anula: un server DNS lent sau care nu răspunde nu mai ține ocupat gateway-ul.
• SEC Numele de domeniu internaționalizate sunt verificate în ambele forme de codificare, iar adresele scrise numeric (ex. 2130706433) sunt judecate ca adrese.
• FIX Cererile paralele ale aceluiași cont și auditurile simultane ale aceluiași client nu mai primesc 503 pe ținte legitime.
• FIX POST /api/v1/audit/preflight are un buget de timp pe cerere și se oprește când clientul închide conexiunea.
• FIX Ținta are cel mult 255 de caractere și pe POST /api/v1/payg/checkout, pe fiecare țintă din POST /api/v1/audit/preflight și din comanda în lot; peste limită răspunsul e 422.
• FIX Un DNS care nu răspunde la timp dă un refuz trecător (400, „reîncearcă"), nu un verdict despre țintă.
• FIX Un caracter UTF-16 invalid (un „surogat” fără pereche) trimis într-o cerere nu mai produce o eroare de server (500): un corp JSON care îl conține — scris ca escape \ud800 sau direct în octeți, în UTF-8, UTF-16 ori UTF-32 — e refuzat cu 400 și un mesaj clar, înaintea autentificării; în celelalte cazuri răspunsul e tot 400.
• FIX Ținta se verifică la fel pe toate rutele: lungimea se numără pe text, deci un nume cu diacritice trimis în forma descompusă (de ex. de pe macOS) nu mai e refuzat. Limita e de 255 de caractere pentru ținte și de 2048 pentru URL-uri (webhook-uri, trimiterea către CSIRT, sonda GraphQL); nicio limită existentă nu a scăzut. Refuzul are un mesaj fix, fără valoarea trimisă.
• SEC Pe rutele cu cont care primesc o țintă, lungimea și forma țintei se verifică după autentificare: fără token, răspunsul e 401, nu un refuz care descrie ținta. Rămân înaintea autentificării, ca până acum, refuzul 400 al unui corp cu caracter UTF-16 invalid și 422 pe alte câmpuri ale cererii.
• SEC Lista de ținte a unui scope semnat se compară cu ținta indiferent de majuscule, de punctul final al numelui (exemplu.ro.) și de forma în care au fost scrise diacriticele, atât pentru țintele permise, cât și pentru cele interzise: o țintă interzisă nu mai poate fi ocolită scriind-o altfel.
• FIX Un corp JSON cu structura imbricată pe peste 64 de niveluri primește 400 cu un mesaj clar; înainte, între aproximativ 1.000 și 10.000 de niveluri, răspunsul era o eroare de server (500).
• FIX Auditul OSINT: un nume de peste 256 de octeți (aproximativ 215 caractere cu diacritice) e refuzat cu 422 înainte de plată și înainte de debitarea creditelor, nu după.
• SEC Numele organizației (OSINT, red-team advisory, audit credențiale) poate conține litere și caractere ASCII obișnuite; din tipografie sunt acceptate ghilimelele „ ” “ « », apostroful ’ ‘, liniuțele ‐ ‑ ‒ – — −, elipsa … și ® ™ ©. Alte caractere, precum și un cuvânt cu două „:” care nu e o adresă IP, primesc 400 cu motivul; orice adresă scrisă în nume e verificată.

v0.7.0-alpha.1

Lansat 2026-06-08 · Desktop · Gateway · KB

Desktop — major upgrade

• NEW 12 probe-uri ICS / IoT: Modbus-TCP, Siemens S7, EtherNet/IP, BACnet, DNP3, OPC UA, MQTT, CoAP, ONVIF, RTSP, WS-Discovery, LLDP (best-effort)
• NEW SNMP aggressive: v1 + v2c brute pe 40 community strings, v3 user enum prin RFC 3414 oracle (20 useri + 8 parole)
• NEW OS detection din 10 surse weighted: SNMP sysDescr · SMB Negotiate · NetBIOS · mDNS · SSDP · HTTP Server · TLS cert · SSH banner · HTTP fingerprint · TTL
• NEW OUI database bundled: 1216 vendor prefixes (31.8 KB) — Apple, Cisco, Intel, HPE, Dell, MikroTik, Ubiquiti, VMware, Espressif, Tuya, Realtek etc.
• NEW Banner grab pe 144 porturi tagged (solar/EV/ICS/cameras/medical/BMS/NAS/VoIP/IoT)
• NEW Thin-client KB architecture: toate signal-urile trimise la scanope.com/api/v1/detect/interpret pentru interpretare server-side (KB v0.1 cu 402 patterns + 47 categorii + 187 brand cloud signatures + 41 OID-uri SNMP vendor)
• NEW Audit lifecycle: scan-urile Desktop apar automat în scanope.com/u/audits cu audit_code unic + findings clasificate
• NEW Aggressive IoT toggle — gate consent pentru probe-uri Modbus/S7/etc. Off by default pentru safety pe rețelele clienților.
• OPS Build-uri signed: Windows Setup (NSIS) + Portable, Linux AppImage + .deb. macOS .dmg în curs.
• OPS Auto-updater electron-updater live cu feed stable.yml + delta blockmap
• FIX Mobile responsive layout: header arată ambele butoane CONECTARE + CONT NOU pe viewport < 880px

Knowledge Base + CVE intel

• NEW 107,620 CVE-uri NVD live (2024-2026 backfill), sync hourly via NVD modified feed
• NEW 1,612 CISA KEV entries (Known Exploited Vulnerabilities) sync daily
• NEW Recog fingerprints: 4,656 patterns (Rapid7 XML library)
• NEW Wappalyzer web fingerprints: 109 tech detections
• NEW nmap-services: 27,461 port → service canonical mappings
• NEW Endpoint POST /api/v1/detect/interpret returnează acum CVE matches CRITICAL/HIGH pe CPE-urile detectate (ex: Apache 2.4.41 → 5 CVE CRITICAL CVSS 9.1-9.8)

Gateway / API

• NEW Endpoint POST /api/v1/desktop-auth/revoke pentru logout mobile/desktop server-side
• NEW Endpoint POST /api/v1/detect/scan/start + /scan/complete pentru audit lifecycle Desktop
• NEW Endpoint GET /api/v1/health/detailed + pagina publică scanope.com/status
• SEC Rate-limit pe /interpret: 1000/h authenticated, 100/h anonymous IP (Redis sliding-window, fail-open)
• OPS GDPR retention cron pe scan_hosts: free=3 zile / payg=7 / pro=30 / enterprise=90
• FIX CSP corectat pe BOS pages (era 405 pentru anumite metoda HTTP)

Raport PDF

• NEW Secțiunea §12 "Discovered Devices & Risk Classification" bilingv RO+EN pentru audit-uri LAN: tabel hosts cu categorie + brand + risk score, distribuție risk, CVE-uri per host cu badge KEV (Exploited in the Wild)
• NEW Mapping NIS2 / IEC 62443 / CRA Annex I per finding

Demeter Content Publisher (Engine)

• NEW Anti-hallucination guard guards/no_invented_stats.py — scanner post-generare cu 5 reguli (invented samples, authority appeals, unsourced percentages, ratios, numbers)
• NEW Prompt v1.0.1 cu Rule 0 — No Fabrication aplicat ÎNAINTE de generare (preventiv) + scanner ca QA gate (detectiv)

Infrastructure

• OPS Auto-updater feed pe scanope.com cu blockmap pentru delta updates
• OPS Daily backup cron artemis-postgres (was missing, last full backup era din 2026-05-06!)
• OPS KC theme custom scanope-theme aplicat pe realm artemis-clients — login UI complet branded scanope.com (zero indicii Keycloak)

v0.6.0-beta

Lansat 2026-05-27 · Desktop

• NEW Phase 1: OUI lookup (1216 vendors) + banner grab pe 40 porturi standard
• NEW Phase 2: OS detection (10 signals) + SNMP v1/v2c/v3
• NEW Phase 3: thin-client KB integration — interpretare server-side

v0.5.0 → v0.3.0

Versiuni internal — pre-launch

• Iterații desktop și UI inițiale, audit lifecycle de bază pe site/network audits via engine.
• Vezi tags repository pentru detalii commit-level.