Files

T

Thore CimbalandClaude Fable 5 c23bb54a92 feat: slice 4 - the open management issues live in the repo

Gate 4, slice 4: 26 open management issues imported from live git.lab
(read-only, descriptions included as authorized; GitLab iid = file id,
labels/milestone/priority/due/host/area mapped into frontmatter, the
import aborts instead of inventing a missing milestone or priority).
Two new issues close the F-004 gap where work was really still open
(0033 OVERMIND-01, 0034 CFGMON-11 incl. the plaintext npm-token
rotation); CFGMON-12/13 already route to verified git.lab issues,
MATRIX-05 is done and needs none (agreed with sorb). The three wiki
task blocks now reference their issues, roadmap.md hands all counts to
the generated STATUS.md and states M1-M5 per ADR-0010 (closing F-001
in the canonical prose), pruefe_prosa joins the CI validate job, and
the import protocol under docs/sources/migration/ records every
intervention into imported text.

Verified: validate 0/0 over 29 issue files, gen_status --check current
(distribution line M1 9 - M2 17 - M4 2 plus per-issue milestone and
priority), pruefe_prosa 0 errors with clones and 0 errors/15 unchecked
citations in offline CI mode, drift check green.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

2026-08-11 12:00:00 +00:00

1.8 KiB

Raw Blame History

type, id, status, created, milestone, priority, host, area, wartegrund, gitlab_iid, related

type

status

created

milestone

priority

host

area

wartegrund

gitlab_iid

issue

0014

waiting

2026-08-01

low

cfgmon

security

Grund im GitLab-Verlauf benannt (Import 2026-08-11); im nächsten Refinement präzisieren

CFGMON-14: Root-Zugang über die docker-Gruppe umgeht sudo und hinterlässt keine Spur

Import aus management#14 (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).

Aus dem CFGMON-AAR (Befund 3, MEDIUM), Entscheidung liegt bei sorb.

sudo ist aus einer Agenten-Session nicht bedienbar (kein TTY: „a terminal is required to read the password"). Die LABNET-02-Schritte liefen deshalb über die docker-Gruppenmitgliedschaft des Kontos rantanplan — privilegierter Container plus nsenter in die Host-Namespaces. Das ist root-äquivalent.

Konsequenz: Die sudo-Passwortabfrage ist für dieses Konto keine wirksame Sicherheitsgrenze, und dieser Weg hinterlässt keinen Eintrag in auth.log. Auf Linux ist das normales Verhalten der docker-Gruppe und kein Konfigurationsfehler — aber es sollte eine bewusste Entscheidung sein.

Optionen:

A — so lassen, aber dokumentieren (dann ist „sudo mit Passwort" auf diesem Host explizit kein Kontrollmechanismus mehr)
B — Konto aus der docker-Gruppe nehmen und Docker-Zugriff über eine gezielte sudo-Regel führen (auditierbar, aber Agenten-Sessions brauchen dann einen anderen Weg)
C — getrenntes Konto für Agenten-Sessions mit definierter, protokollierter Rechteerhöhung

Vor einer Entscheidung zu klären: Welche anderen Konten sind in der docker-Gruppe, und gilt dasselbe auf MATRIX?

1.8 KiB Raw Blame History

CFGMON-14: Root-Zugang über die docker-Gruppe umgeht sudo und hinterlässt keine Spur

1.8 KiB

Raw Blame History