[Analyse 2026-05-28] TafForge-App vom beweglichen main-Branch geklont (mutable Supply-Chain-Ref) #3

New issue

Open

opened 2026-05-29 12:21:36 +02:00 by vr6syncro · 0 comments

vr6syncro commented

2026-05-29 12:21:36 +02:00

Owner

Datei: misc/build.func:24 (auch install/teddytafforge-install.sh:20-21,41; vendor/tafforge-install/lxc/install.sh:75-76,122-124; update-app.sh:52)

Problem: Verifiziert: TAFFORGE_REF_DEFAULT='main' (build.func:24), geklont via git clone --depth=1 --branch main und git reset --hard origin/$APP_REPO_REF. TeddyCloud ist auf Tag tc_v0.6.8 gepinnt, aber die primaere App, die als uvicorn-systemd-Service laeuft, kommt von einem beweglichen Branch ohne Commit-Pin/Verifikation. update-app.sh zieht ebenfalls von main.

Impact: Installs nicht reproduzierbar; jede Manipulation an upstream main (kompromittierter Account, bösartiger PR-Merge, force-push) wird bei jedem Fresh-Install und Update still als root-installierter systemd-Service deployt.

Empfehlung: TAFFORGE_REF_DEFAULT auf Release-Tag/Commit-SHA pinnen und dem Operator sichtbar machen; geklonten Tree vor Build gegen erwarteten Commit-Hash verifizieren.

Datei: misc/build.func:24 (auch install/teddytafforge-install.sh:20-21,41; vendor/tafforge-install/lxc/install.sh:75-76,122-124; update-app.sh:52) Problem: Verifiziert: TAFFORGE_REF_DEFAULT='main' (build.func:24), geklont via git clone --depth=1 --branch main und `git reset --hard origin/$APP_REPO_REF`. TeddyCloud ist auf Tag tc_v0.6.8 gepinnt, aber die primaere App, die als uvicorn-systemd-Service laeuft, kommt von einem beweglichen Branch ohne Commit-Pin/Verifikation. update-app.sh zieht ebenfalls von main. Impact: Installs nicht reproduzierbar; jede Manipulation an upstream main (kompromittierter Account, bösartiger PR-Merge, force-push) wird bei jedem Fresh-Install und Update still als root-installierter systemd-Service deployt. Empfehlung: TAFFORGE_REF_DEFAULT auf Release-Tag/Commit-SHA pinnen und dem Operator sichtbar machen; geklonten Tree vor Build gegen erwarteten Commit-Hash verifizieren.

vr6syncro referenced this issue

2026-05-29 12:21:54 +02:00

Analyse 2026-05-28: 15 Findings (0 critical, 3 high) #5

vr6syncro referenced this issue

2026-05-29 19:12:52 +02:00

Fix: verifizierte Findings 2026-05-28 (1 high) #6

vr6syncro referenced this issue from a commit

2026-05-29 21:03:03 +02:00

fix: nachgereichte verifizierte Findings (Analyse 2026-05-28)

vr6syncro referenced this issue from a pull request that will close it,

2026-05-29 21:03:21 +02:00

Nachfix: verifizierte Findings 2026-05-28 #7