sorb/management
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

docs: the judge found eight things the closed ledger owed

Browse Source 
Closing a ledger changes what it owes. Six ladder rows had empty commit cells,
which reads as pending, and a gate row that recorded 3 and 4 together stopped an
L-sized run from proving it held gate 4 at all — sorb approved them in one go,
but one row per gate is what the size class is checked against.

The gate 5 cell named a hash that an amend had already invalidated. Writing a
commit into the file that records it is circular by nature; the honest form is
to point at the commit that carries the work and let this one carry the pointer.
This commit is contained in:
Thore Cimbal
2026-08-21 12:00:00 +00:00
parent cdcb33fb4c
commit df06c4cc7c
1 changed files with 9 additions and 8 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/ledger/2026-08-21-cve-remediation.md
+9 -8
View File
@@ -25,8 +25,9 @@ Nachfrage erfuellt wurde (`docs/wiki/stolpersteine/aar-pflicht-ohne-werkzeug.md`
|---|---|---|---|---|
| 1 | 24ae5b9 | sorb | DONE | Drei Haufen statt eines Vorhabens; Reichweite Haufen C = einengen auf Betriebenes. |
| 2 | 80ee448 | sorb | DONE | Gestufter Authentik-Weg belegt; die Pflicht-Zwischenstufe traegt den ganzen CRITICAL-Gewinn. |
| 3+4 | 70823b4 | sorb | DONE | Zusammengelegt (eine Datei, eine Zeile, keine Signaturen); Fund: Flux haette selbsttaetig zurueckgerollt. |
| 5 | 669e24c | sorb | DONE_WITH_CONCERNS | 0 CRITICAL ohne Entscheidung auf 54 gemessenen Zielen; ⚠️ Kriterium 2 endet bei 1 statt 0 und Kriterium 3 haengt bis zur naechsten Scan-Runde nach - beides im Entwurf begruendet statt passend gerechnet. |
| 3 | 70823b4 | sorb | DONE | Mit Gate 4 zusammen freigegeben (eine Datei, eine Zeile, keine Signaturen); Fund: Flux haette selbsttaetig zurueckgerollt. |
| 4 | 70823b4 | sorb | DONE | Siehe Gate 3 - derselbe Commit, dieselbe Freigabe. Getrennte Zeilen, weil ein Ledger je Gate eine fuehrt und eine zusammengefasste Zeile die Groessenklasse L nicht belegt. |
| 5 | cdcb33f | sorb | DONE_WITH_CONCERNS | 0 CRITICAL ohne Entscheidung auf 54 gemessenen Zielen; ⚠️ Kriterium 2 endet bei 1 statt 0 und Kriterium 3 haengt bis zur naechsten Scan-Runde nach - beides im Entwurf begruendet statt passend gerechnet. |
## Slices
@@ -50,13 +51,13 @@ Nachfrage erfuellt wurde (`docs/wiki/stolpersteine/aar-pflicht-ohne-werkzeug.md`
| searched | found | outcome | commit |
|---|---|---|---|
| ob ein Update ueberhaupt etwas bringt, bevor eines gefahren wird | Trivy kann ein Image pruefen, das nirgends laeuft — lokal ausfuehrbar | reused: das vorhandene Scan-Werkzeug als Vorab-Messung; daraus wurde die Methode „vor jedem Update das Zielimage scannen" | |
| eine Anleitung zum Ueberspringen von Fassungsreihen, statt es zu wagen | Authentik: „upgrades MUST follow the sequence of major releases"; cert-manager: „one minor at a time, always the latest patch" | reused: die dokumentierten Wege statt eines Sprungs — beide Male gestuft | |
| ob die Bruchstellen uns treffen, statt sie zu fuerchten | 5 von 5 geprueft, 5 von 5 gegenstandslos (CONN_OPTIONS, WebAuthn-Option, Outposts, ACME-Metriken, cert-manager-edit) | reused: der eigene Bestand als Pruefmassstab; keine vorsorglichen Anpassungen gebaut | |
| einen Rueckweg, bevor die Datenbank migriert wird | #0030 hatte Authentiks Sicherung bereits zurueckgespielt (325.149 Zeilen); Anleitung: „revert to your database backup" | reused: die geprobte Sicherung; nur eine frische Ausloesung von Hand ergaenzt | |
| ob ein Update ueberhaupt etwas bringt, bevor eines gefahren wird | Trivy kann ein Image pruefen, das nirgends laeuft — lokal ausfuehrbar | reused: das vorhandene Scan-Werkzeug als Vorab-Messung; daraus wurde die Methode „vor jedem Update das Zielimage scannen" | 24ae5b9 |
| eine Anleitung zum Ueberspringen von Fassungsreihen, statt es zu wagen | Authentik: „upgrades MUST follow the sequence of major releases"; cert-manager: „one minor at a time, always the latest patch" | reused: die dokumentierten Wege statt eines Sprungs — beide Male gestuft | 80ee448 |
| ob die Bruchstellen uns treffen, statt sie zu fuerchten | 5 von 5 geprueft, 5 von 5 gegenstandslos (CONN_OPTIONS, WebAuthn-Option, Outposts, ACME-Metriken, cert-manager-edit) | reused: der eigene Bestand als Pruefmassstab; keine vorsorglichen Anpassungen gebaut | 80ee448 |
| einen Rueckweg, bevor die Datenbank migriert wird | #0030 hatte Authentiks Sicherung bereits zurueckgespielt (325.149 Zeilen); Anleitung: „revert to your database backup" | reused: die geprobte Sicherung; nur eine frische Ausloesung von Hand ergaenzt | 80ee448 |
| ob Flux beim Fehlschlag etwas Eigenes tut | CRD: `strategy` defaults to `rollback`, Remediation zwischen jedem Versuch, `remediateLastFailure` bei retries>0 ebenfalls scharf | built: eine Entschaerfung (`retries: 0`) fuer die Dauer des Sprungs — die einzige gebaute Sache, die nicht Fassungsnummer war | df6d291 |
| ob es ein neueres Wiki.js-Image gibt | `2.5` (gleitend) traegt 12 CRITICAL, das „neuere" Release-Tag `2.5.277` traegt 40 | reused: der laufende Stand — das Update waere eine Verschlechterung gewesen | |
| ob Draupnir eine neuere Fassung hat | `v3.1.0` ist die neueste; `develop` ist kein Release | reused: nichts angefasst — „Paket hat einen Fix" heisst nicht „es gibt ein Image damit" | |
| ob es ein neueres Wiki.js-Image gibt | `2.5` (gleitend) traegt 12 CRITICAL, das „neuere" Release-Tag `2.5.277` traegt 40 | reused: der laufende Stand — das Update waere eine Verschlechterung gewesen | 44cc030 |
| ob Draupnir eine neuere Fassung hat | `v3.1.0` ist die neueste; `develop` ist kein Release | reused: nichts angefasst — „Paket hat einen Fix" heisst nicht „es gibt ein Image damit" | 44cc030 |
| ob unsere Forks und Anpassungen einen Chart-Sprung ueberleben, auf sorbs Einwand hin | beide Chart-Fassungen mit unseren echten Werten gerendert: Fork-Ueberschreibung, Foederationsschliessung, Sperrliste und stabile MAS-Integration in beiden identisch | reused: `helm template` als Vorab-Beweis statt Ausprobieren am lebenden System — ⚠️ nur auf UNSERE Anpassungen geprueft, nicht auf verschobene interne Ziele; genau daran brach spaeter die Anmeldung | 07ffd0e |
| ob die neueste Fassung wirklich die beste ist, bevor sie gesetzt wird | Grafana 13.2.0 raeumt 7 CRITICAL ab, treibt HIGH aber 70 -> 162; 12.4.9 macht 7 -> 1 und 70 -> 3 | reused: die 12er-Reihe statt des Major-Sprungs — gemessen, nicht nach Nummer gewaehlt | 516641b |
| ein Manifest fuer genau unseren Flux-Komponentensatz, statt das Release-Manifest zu nehmen | `install.yaml` traegt 7 Deployments, wir betreiben 4 — das CLI erzeugt den passenden Satz | reused: `flux install --export --components=...` statt Handfilterung von 270 kB YAML | fcf3169 |