Controleer de appimagetool-pin vóór een releasetag #2324

New issue

Closed

opened 2026-10-06 12:24:11 +00:00 by brenno · 0 comments

brenno commented

2026-10-06 12:24:11 +00:00

Owner

Release v0.6.14 viel pas ná de onomkeerbare tag in Linux bouwen: upstream had de rollende continuous-asset van appimagetool op 4 oktober vervangen. De vastgelegde SHA-256 was terecht fail-closed, maar de veroudering was vóór de tag niet gecontroleerd.

Bewijs:

verwachte hash: a6d71e2b6cd66f8e8d16c37ad164658985e0cf5fcaa950c90a482890cb9d13e0;
GitHub asset-digest en onafhankelijk gedownloade bytes: 95cbe7cce9717fce90c484e34052ee7c7f1d7635b33c12525b4776826a7d29b6;
upstream asset bijgewerkt op 2026-10-04;
release-job 23681 faalde gesloten vóór uitvoering van het onbekende binary.

Acceptatie:

release_auto/preflight vergelijkt vóór branch/tagmutatie de vastgelegde hash met de actuele officiële asset-digest;
mismatch blokkeert vóór de tag met een concreet herstelcommando;
de pin wordt alleen bewust bijgewerkt na herkomstcontrole;
een test bewijst zowel match als mismatch zonder netwerk;
onderzoek of een intern, content-addressed exemplaar of gepind CI-image de rollende download kan vervangen.

Incident: release-run 5479, Linux-job 23681.

Release v0.6.14 viel pas ná de onomkeerbare tag in Linux bouwen: upstream had de rollende `continuous`-asset van appimagetool op 4 oktober vervangen. De vastgelegde SHA-256 was terecht fail-closed, maar de veroudering was vóór de tag niet gecontroleerd. Bewijs: - verwachte hash: `a6d71e2b6cd66f8e8d16c37ad164658985e0cf5fcaa950c90a482890cb9d13e0`; - GitHub asset-digest en onafhankelijk gedownloade bytes: `95cbe7cce9717fce90c484e34052ee7c7f1d7635b33c12525b4776826a7d29b6`; - upstream asset bijgewerkt op 2026-10-04; - release-job 23681 faalde gesloten vóór uitvoering van het onbekende binary. Acceptatie: - `release_auto`/preflight vergelijkt vóór branch/tagmutatie de vastgelegde hash met de actuele officiële asset-digest; - mismatch blokkeert vóór de tag met een concreet herstelcommando; - de pin wordt alleen bewust bijgewerkt na herkomstcontrole; - een test bewijst zowel match als mismatch zonder netwerk; - onderzoek of een intern, content-addressed exemplaar of gepind CI-image de rollende download kan vervangen. Incident: release-run 5479, Linux-job 23681.

brenno added the

release-blocker

bug

accepted

labels

2026-10-06 12:24:11 +00:00

brenno added the

in-progress

label

2026-10-06 16:47:24 +00:00

brenno referenced this issue from a commit

2026-10-06 17:08:20 +00:00