Folgetickets aus dem Security-Review (Fable 5.1, main-Branch) fuer archive-kanban. Neues Epic "🔒 Sicherheit".
- SEC-01 (kritisch): Rolle aus unverifiziertem X-User-Role-Header statt echter Identitaet -- DSGVO-Auskunftsbericht/Fristverkuerzung durch jeden
- SEC-02 (hoch): kennzahlen-api ohne Tenant-Instanzbindung
- SEC-03 (mittel): TOCTOU Legal Hold vs. Destroy, Destroy ausserhalb aeusserer Transaktion
- SEC-04 (mittel): wormstore Release/Destroy ohne Legal-Hold-Pruefung, Reihenfolge-Problem
- SEC-05 (mittel): moduleadapter /register ohne Tenant-Bindung, ALLOW_UNAUTHENTICATED-Flag
- SEC-06 (mittel): Append-only-Luecken (legal_holds CASCADE, fehlendes REVOKE/Trigger auf mehreren Tabellen)
Jedes Ticket mit Datei:Zeile-Beleg, konkretem Angriffsszenario, Akzeptanzkriterien und Pruefungen, die den Angriff vor dem Fix real nachstellen.
Nur Board-/Ticketdaten (Backlog), keine Code-Aenderung in dieser PR.
Kein Merge, kein Deploy.
🤖 Generated with [Claude Code](https://claude.com/claude-code)
patrick
added 73 commits 2026-10-17 13:18:24 +02:00
security-threat-model-Skill gegen Core, DMS, Mail, Archive, Workflow, AI
und Connect durchlaufen. SICHERHEITSKONZEPT.md um Abschnitte 13-19
erweitert (ein Threat Model je Board), 33 neue Tickets in je einer neuen
Welle pro Board angelegt.
Wiederkehrende Lücken: modulübergreifende Rückkanäle/Registrierungen
vertrauten dem Tenant-Kontext des aufrufenden Moduls ohne unabhängige
Core-Registry-Prüfung; "unveränderlich"/"append-only" war teils nur
Anwendungskonvention statt technischer DB-Durchsetzung.
nexarch-state.json gesamtsumme neu berechnet (390 Tickets, 997 PT).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01QPsyieCYwvbUBsnN598SbP
CMP-04, QA-01, CMP-01, CMP-03, ANA-01, QA-06, ANA-02, ANA-03, BAK-09,
BAK-10 - Code+Tests gepusht als PRs #1-#11 in scripte/nexarch (Gitea),
noch nicht gemergt.
Nicht angefasst: QA-02/QA-03/QA-05/QA-07/CMP-05 haengen von RET-03/
CMP-02/CMP-06/CMP-07 ab, die nur in einem aelteren, nie mit dem hier
fortgefuehrten Strang zusammengefuehrten Branch existieren (siehe
Claude-Memory project_nexarch_archive_branch_split). CSV/HTML-Spiegel
dieses Boards bewusst nicht mitaktualisiert (Bookkeeping, nicht Teil
eines Tickets).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
INT-19 (Mobile Erfassung) war seit INT-17-ENTSCHEIDUNG.md als
zurückgestellter Kanal vorgemerkt, jetzt zur Umsetzung ausformuliert.
INT-21 haelt die vom Nutzer gewuenschte native Android-App als
eigenstaendiges, spaeter auszuarbeitendes Vorhaben fest (Build-Host 236
mit vorhandenem Android-SDK bestaetigt), ohne INT-19 zu ersetzen.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Nutzerentscheidungen 2026-09-26 eingearbeitet: Token-Auth (Login +
langlebiges Zugriffstoken), internes APK-Hosting statt Play Store,
Offline-Warteschlange mit automatischer Nachreichung. Baut auf INT-19
und der bestehenden DOC-01-Upload-API auf. Build ausschließlich auf
Host 236 (Android-SDK dort vorhanden), nichts auf der
Entwicklungsmaschine installieren.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Über 20 einzelne web/-Apps ohne gemeinsame Navigation entstanden.
SHL-02 verlinkt sie über eine rechte-/feature-flag-gesteuerte
Portal-Startseite, ohne die Module selbst zu verändern.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Aus INT-21 (Android-App) entstandener Bedarf: Client kennt nur eine
Server-Grundadresse, muss echte Modul-Endpunkte ermitteln koennen.
Bisher nirgends vorhanden. Nutzerentscheidung: fuer INT-21 vorerst
bei zwei manuell eingegebenen Feldern bleiben, Discovery als eigenes,
spaeteres Ticket.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Beim SHL-02-Portal-Ausbau entdeckt: policy_rules-Katalog nur fuer DMS
befuellt, Portal nutzte erfundene Platzhalter fuer Mail/Workflow/AI/
Connect/Core-Admin. RBAC-12 legt echte, granulare Rechte fuer diese
fuenf Module an, analog zum bestehenden dms.*-Muster.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
War seit INT-17-ENTSCHEIDUNG.md als zurückgestellter Kanal
vorgemerkt, jetzt zur Umsetzung freigegeben und ausformuliert,
analog zu INT-19s Aufbau.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Beide QA-15-Befunde waren als 'zu riskant/geringer Nutzen fuer den
Aufwand' zurueckgestellt, jetzt vom Nutzer zur Umsetzung freigegeben.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
RET-15 (echter chattr-faehiger-Host-Nachweis), RET-16 (STORAGE-KONZEPT.md
Widerspruch ZFS/WORM klaeren), CMP-08 (eDiscovery Ende-zu-Ende-Nachweis
gegen echte DMS/Mail-Instanzen) -- alle drei aus den Empfehlungen des
QA-05-Abnahmeprotokolls (PR #311), nur angelegt, nicht implementiert.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Nach PR #312 (RET-11-Nachtrag): nicht ZFS verhindert chattr +i, sondern
unprivilegierte LXC-Container (CAP_LINUX_IMMUTABLE nicht namespace-bewusst,
Kernel-Design). Tickettexte entsprechend korrigiert.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Verifizierte Befunde (main, Fable 5.1, Datei:Zeile-Belege): Approver-Impersonation
ueber X-User-Id auf allen Fach-APIs (SEC-01), nicht verdrahtetes Vier-Augen-Prinzip
mit fail-open (SEC-02), schreibbare Routing-Regeln ohne Rollenpruefung und
Rueckkanal ohne Service-Auth (SEC-03), Dedupe-Key-Vergiftung durch abgelehnte
Fremd-Tenant-Events (SEC-04), rohe DB-Fehler in HTTP-Antworten (SEC-05) und
fehlende Append-only-Durchsetzung bei mehreren Protokolltabellen (SEC-06).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Verifizierte Befunde aus Security-Review (main, Fable 5.1): RBAC via
Client-Header statt verifizierter Identitaet, fehlende Tenant-Validierung
in kennzahlenapi, TOCTOU bei Legal Hold vs. Destroy, wormstore ohne
Legal-Hold-Pruefung, fehlende Tenant-Bindung bei moduleadapter-Registrierung,
Append-only-Luecken bei mehreren Archive-Tabellen.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Branch ohne gemeinsame Historie zu main (orphan) und enthaelt nur Tickets fuer ein inzwischen aus main entferntes Kanban-Board (PR #367). Kein Merge-Wert mehr, geschlossen.
Branch ohne gemeinsame Historie zu main (orphan) und enthaelt nur Tickets fuer ein inzwischen aus main entferntes Kanban-Board (PR #367). Kein Merge-Wert mehr, geschlossen.
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Folgetickets aus dem Security-Review (Fable 5.1, main-Branch) fuer archive-kanban. Neues Epic "🔒 Sicherheit".
Jedes Ticket mit Datei:Zeile-Beleg, konkretem Angriffsszenario, Akzeptanzkriterien und Pruefungen, die den Angriff vor dem Fix real nachstellen.
Nur Board-/Ticketdaten (Backlog), keine Code-Aenderung in dieser PR.
Kein Merge, kein Deploy.
🤖 Generated with Claude Code
Branch ohne gemeinsame Historie zu main (orphan) und enthaelt nur Tickets fuer ein inzwischen aus main entferntes Kanban-Board (PR #367). Kein Merge-Wert mehr, geschlossen.
Pull request closed