From 5297104846179fc85a3d07fd981d0545a3449ec0 Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Wed, 19 Aug 2026 12:00:00 +0000 Subject: [PATCH] docs(issues): #0099 - measured, and the answer is neither panic nor precaution The issue insists on measuring before building, so: the import was Element Web 1.12.17 in May, upstream is at v1.12.26, and GHSA-wrcp-5v3v-3j6v has been open since 2026-07-20 with "affected: < v1.12.22". We are inside that range. The other five advisories concern 1.11.x and do not. Severity is medium and the attack needs the client pointed at a malicious homeserver, which our users have no reason to do. But the precondition is reachable: disable_custom_urls is not set, so Element accepts an arbitrary homeserver by default, and the desktop builds are handed out. So the honest answer is overdue rather than urgent: a fork without a merge path took four weeks to not close a known hole, which is exactly the latency this issue names as the real problem. One mitigation is available today and independent of the fork question - setting disable_custom_urls removes the precondition for our users in one line. With federation closed it is a reasonable setting on its own merits. --- ...am-sicherheitsfixes-lassen-sich-nicht-m.md | 46 +++++++++++++++++++ 1 file changed, 46 insertions(+) diff --git a/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md b/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md index 0b1f101..62874d9 100644 --- a/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md +++ b/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md @@ -35,3 +35,49 @@ Das ergibt eine unangenehme Kette mit gitops#22 (Advisory-Monitoring): Wir würd Zusammenhang: gitops#22 (Advisory-Monitoring) ist die Erkennung, dieses Issue die Reaktionsfähigkeit. Das eine nützt wenig ohne das andere. *Gefunden am 2026-08-06 beim Vermessen der Merge-Reibung (Arbeitspaket 3 aus #7).* + +## Schritt 1 beantwortet 2026-08-19 — es ist keine Vorsorge mehr + +Das Issue verlangt ausdrücklich „zuerst messen, nicht bauen". Gemessen: + +**Wir sind neun Veröffentlichungen zurück.** Import war Element Web **1.12.17** +(2026-05-10); Upstream steht bei **v1.12.26** (2026-08-18). + +**Und es gibt eine offene Sicherheitsmeldung, die uns betrifft:** + +| | | +|---|---| +| Advisory | `GHSA-wrcp-5v3v-3j6v` | +| veröffentlicht | **2026-07-20** (vier Wochen offen) | +| Einstufung | medium | +| Inhalt | Ein bösartiger Homeserver kann über die Startseite HTML in Element Web einschleusen | +| betroffen | **< v1.12.22** — wir laufen 1.12.17 | + +Die übrigen fünf Advisories im Projekt betreffen ältere Stände (≤ 1.11.x) und damit +nicht uns. + +### Einordnung — real, aber schmal + +Der Angriff setzt voraus, dass der Client auf einen **bösartigen Homeserver** zeigt. +Unsere Nutzer verwenden ihn gegen den eigenen Server, und Föderation ist seit +[ADR-0021](../adr/0021-foederation-geschlossen.md) geschlossen. + +**Aber die Voraussetzung ist erreichbar:** `disable_custom_urls` ist in +`element-values.yaml` **nicht gesetzt**, Element erlaubt damit standardmäßig die +Eingabe eines beliebigen Homeservers — und die Desktop-Builds werden verteilt. Wer +sich mit unserem Client woanders anmeldet, ist ungeschützt. + +### Was daraus folgt + +Die Antwort auf „dringend oder Vorsorge" lautet: **weder Panik noch Vorsorge, sondern +überfällig.** Ein Fork ohne Merge-Weg hat vier Wochen gebraucht, um eine bekannte +Lücke *nicht* zu schließen — genau die Zeitspanne, die dieses Issue als das +eigentliche Problem benennt. + +**Sofort möglich, unabhängig vom Merge-Problem:** `disable_custom_urls: true` setzen. +Das nimmt dem Advisory für unsere Nutzer die Voraussetzung, kostet eine Zeile und +berührt die Fork-Frage nicht. Ob fremde Homeserver überhaupt erlaubt sein sollen, ist +ohnehin eine eigene Entscheidung — bei geschlossener Föderation liegt „nein" nahe. + +Schritte 2–4 (Upstream als Remote, Graft-Versuch, Patch-Auftragsverfahren) bleiben +offen; sie sind der eigentliche Umfang dieses Issues.