From bd6b0b6058d4ac825db664b739191d32a0b7fab4 Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Fri, 21 Aug 2026 12:00:00 +0000 Subject: [PATCH] docs: the ESS step is prepared, and two acceptance lines carry it MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit A fresh application backup covers the Synapse and MAS databases and the media — 2.36 GB, taken by hand because the nightly one is eighteen hours old. sorb adds a host snapshot. No disarming is needed this time: matrix-stack sets no remediation at all, so Flux will not roll anything back on its own. The acceptance list has eight lines and only the last two prove anything new. The ClamAV module's API compatibility with v1.158 is measured; its function is not. And our call fork's compatibility with LiveKit v1.12.0 instead of v1.10.0 is neither measured nor documented anywhere — the fork carries custom audio work built against the older server. Named in advance for the third time today: an intermediate state is not a result. Synapse runs background updates for hours after a jump this size, and a ready pod with background updates still logging is normal rather than a failure. --- docs/design/2026-08-21-cve-remediation.md | 44 +++++++++++++++++++++++ 1 file changed, 44 insertions(+) diff --git a/docs/design/2026-08-21-cve-remediation.md b/docs/design/2026-08-21-cve-remediation.md index 1cb9bf4..4e60eca 100644 --- a/docs/design/2026-08-21-cve-remediation.md +++ b/docs/design/2026-08-21-cve-remediation.md @@ -664,3 +664,47 @@ wie die echte Datei, mit **anderem** Inhalt und nur 8,8 KB statt 30,7 KB. Sie steht **nicht** im Kustomize-Bauplan und ist damit heute wirkungslos — aber wer sie je aufnimmt oder umbenennt, ersetzt die Element-Konfiguration stillschweigend durch einen älteren, kleineren Stand. Nicht angefasst; gehört sorb. + +#### Der Plan für den ESS-Schritt + +**Vorbedingungen, beide erfüllt:** + +- **Anwendungssicherung frisch von Hand**: `synapse-backup-vor-ess-268-…T19:22:43`, + 2,36 GB — deckt die Synapse- **und** die MAS-Datenbank sowie die Medien ab. Die + nächtliche war von 01:00; seitdem sind Nachrichten und Sitzungen entstanden. +- **Host-Snapshot durch sorb** (zusätzlich zur Anwendungssicherung). + +**Keine Entschärfung nötig.** `matrix-stack` hat **gar keine** `remediation` +gesetzt, Flux' Vorgabe ist `retries: 0` ohne selbsttätiges Zurückrollen — anders +als bei Authentik, wo `retries: 3` erst zu entwaffnen war. + +**Der Schritt:** eine Zeile, `apps/production/element-server-suite.yaml` Z. 15, +`26.4.0` → `26.8.0`. **Nicht 26.8.1** — die ist vom selben Tag. + +**Abnahmeliste. Die letzten beiden Zeilen entscheiden, alles davor ist Vorlauf:** + +| # | Prüfung | Erwartet | +|---|---|---| +| 1 | Synapse-Schema-Migrationen im Protokoll | durchgelaufen, kein Abbruch | +| 2 | Pods bereit, Fassungen | `synapse:v1.158.0`, `mas:1.22.0`, `element-admin:0.1.12`, `lk-jwt:0.4.4`, SFU `v1.12.0` | +| 3 | `threadnet-web` unverändert | weiterhin `v0.6.0` — die Überschreibung darf nicht verloren gehen | +| 4 | Föderation weiter geschlossen | `federation_domain_whitelist` im Secret vorhanden | +| 5 | Anmeldung durch die Kette | Element → MAS → Authentik, serverseitig belegt | +| 6 | Eine Nachricht senden und empfangen | im Ereignisprotokoll belegt | +| 7 | ⚠️ **Ein echter Call mit aktiver Rauschunterdrückung** | unser Call-Fork gegen **LiveKit v1.12.0** statt v1.10.0 | +| 8 | ⚠️ **Ein Upload, den ClamAV abweist** | das Synapse-Modul unter **v1.158** in Funktion, nicht nur API-verträglich | + +⚠️ **Zeile 7 und 8 sind die einzigen, die etwas Neues beweisen.** Die +API-Verträglichkeit des ClamAV-Moduls ist gemessen, seine Funktion nicht; die +Verträglichkeit unseres Call-Forks mit dem neuen SFU ist **weder** gemessen noch +dokumentiert. + +⚠️ **Ein Zwischenstand ist auch hier kein Ergebnis** — zum dritten Mal heute. +Synapse fährt nach einem Sieben-Minor-Sprung **Hintergrund-Aktualisierungen**, +die Stunden laufen können. Ein Pod, der bereit ist, während im Protokoll noch +`background updates` stehen, ist normal und kein Fehlschlag. + +**Rückweg:** `git revert` der Fassungszeile **plus** Anstoßen der Quelle. Sind +die Schema-Migrationen gelaufen, zusätzlich die Datenbank aus der Sicherung von +19:22 — dann gehen Nachrichten und Sitzungen seit diesem Zeitpunkt verloren, die +Konten nicht.