21. Oktober 2026 Meilenstein

Sicherheits-Review M8 abgeschlossen

Bedrohungsmodell erweitert, 24 Befunde am Code nachgeprüft und einzeln entschieden, clang-tidy und MSVC-Analyse ohne Befund, CVE-Abgleich der Abhängigkeiten, Fuzzing-Nachtlauf mit 17 Zielen.

Vor dem ersten Release-Kandidaten wurde Hiatus Remote einer eigenen Sicherheitsdurchsicht unterzogen. Der Bericht erweitert das Bedrohungsmodell um fünf Angreifer und Angriffsflächen und geht den Code in fünf Bereichen durch.

Ergebnis

24 Befunde (R1–R24), kein kritischer. Ein hoher Befund (Remote Debugger im Dienstbetrieb ohne UAC), fünf mittlere (unter anderem ungeprüftes Datenverzeichnis des Dienstes, Umgehung der Sperre per parallelen Sitzungen, Einmal-Passwort an allen Oberflächen, wählbarer Installationsordner) und Hinweise I1–I7.
Jeder Befund wurde am Code nachgeprüft und einzeln entschieden: umsetzen, bewusst so lassen oder zurückstellen. Alle umzusetzenden Befunde sind seit dem 22. Oktober im Code und live auf der Test-VM bestätigt.
Werkzeuge: clang-tidy und die MSVC-Codeanalyse liefen ohne Befund; der CVE-Abgleich der Abhängigkeiten über die NVD (125 Einträge einzeln geprüft) ergab nichts Ausnutzbares. Der Fuzzing-Nachtlauf mit 17 Zielen fand keine Fehler im Produkt; Funde in einer eingebundenen Terminalbibliothek sind mit Patches behoben.

Was sich dadurch geändert hat

Der Dienst prüft sein Datenverzeichnis vor dem Lesen, der Installationsordner bekommt eigene Rechte, der private TLS-Schlüssel wird gleich mit eingeschränkten Rechten angelegt.
Die Sperre nach Fehlversuchen lässt sich nicht mehr über parallele Sitzungen umgehen; die Strafzeit fällt nach 24 Stunden zurück.
„Nur zugelassene Supporter“ weist unbekannte Schlüssel schon vor der Passwortprüfung ab; eine bekannte Supporter-ID mit anderem Schlüssel löst eine Warnung aus.
Bilder aus der Zwischenablage werden in der Decoder-Sandbox dekodiert, auch beim Supporter.

Eine bereinigte Fassung des Berichts wird im Sicherheitsbereich veröffentlicht.