[Security][Gate] Node.js-Sicherheitsupdate mit Runtime-Digest- und Determinismus-Evidence prüfen

[OuroborosCollective]

Ziel

Node.js-Runtime-Updates werden nur übernommen, wenn die gepatchte Version und der resultierende Runtime-Digest real geprüft sind und keine autoritativen Invarianten verletzen.

Fokus

Dieses Issue ist ein Security-/Runtime-Gate, kein allgemeines Simulations-Refactoring.

Prüfung

• Offizielle Advisory, CVEs und gepatchte Zielversion erfassen.
• Aktuelle Produktionsrevision, laufende Node-Version und Image-Digest aus realer Runtime-Evidence erfassen.
• Relevante Security-, Health-, WebSocket- und Auth-Tests ausführen.

Invarianten

• Keine Änderung an Gameplay-Inputs oder deren Canonicalisierung.
• 10-Hz-/100-ms-Kadenz bleibt innerhalb der Toleranz.
• Event-Ordering, Replay- und Hash-Kompatibilität bleiben erhalten.
• Kappa1000 und Snapshot-/Evidence-Verträge bleiben unverändert.

Integration nur nach positivem Gate

• Zielversion und unveränderlicher Image-Digest festgelegt.
• Minimaler reviewbarer Patch für reale FROM node:*-Pfade.
• Vorher-/Nachher-Evidence für Version, Digest, Tick-Metrik und Replay-/Hash-Verhalten.
• Bei negativem Befund keine Integration, sondern dokumentierter Blocker.

[github-actions]

The issue addresses the critical need to evaluate Node.js security patches scheduled for July 2026 (versions 22.x, 24.x, and 26.x), ensuring runtime images in a monorepo are updated and integrated based on rigorous evidence-based criteria. It highlights concerns about non-deterministic code and drifting dependencies in the context of security and runtime integrity, emphasizing the importance of using immutable image digests, replayable truth paths, and deterministic outcomes during audits, testing, and deployment. Integration is strictly conditional on passing all tests and maintaining system invariants.

[linear]

AIM-96

[OuroborosCollective]

Issue-Audit 2026-07-24 — aktuell, aber noch vor dem Release-Ereignis

Geprüft gegen den beobachteten main-Head 9545a2adfa888688ff493ad97049704ceddfc3e2 und den aktuellen Root-Dockerfile mit node:22-alpine in Build- und Runner-Stufe.

Das offizielle Node.js-Sicherheitsrelease ist für Montag, 27. Juli 2026, bzw. kurz danach angekündigt. Heute dürfen daher noch keine erfundenen CVE-Details, gepatchten Versionsnummern oder Green-Ergebnisse eingetragen werden.

Das Issue bleibt unverändert offen. Nächster legitimer Schritt erst nach Veröffentlichung:

1. offizielles Advisory und konkrete 22.x-Patchversion erfassen,
2. alle real verwendeten Node-Images/Dockerfiles inventarisieren,
3. isolierter Patch + Security-/Build-/Tick-/Replay-Gates,
4. nach positivem Gate immutable Digest und reale Produktionsrevision belegen.

Bis dahin: WEITER BELEGEN, keine vorgezogene Integration.