Mutantenlauf auf der Kopie: lo im Netz-Namensraum, fail-closed, Treiber W1 bis W13

mutanten_lauf_kopie.sh faehrt lo im eigenen Netz-Namensraum hoch (unshare --keep-caps, ip, setpriv,
exec in python3) und prueft das vorher fail-closed (ip, setpriv, python3, lo-Probe mit
Faehigkeitspruefung). Anlass: Im Paket RB3 der Trading Plattform scheiterten Tests mit Server auf
127.0.0.1 im Namensraum an Errno 101 (lo aus).
Neuer Treiber mutanten_lauf_kopie_treiber.py mit W1 bis W13; Regressionsnachweis gegen HEAD (W1, W2,
W4, W5, W9 rot) und neun kaputte Varianten v1 bis v9, je an ihren Faellen rot. Lauf mit echten Daten:
alle 73 RB3-Mutanten durch das neue Skript 73/73 OK, T1 und T12 jetzt im Namensraum. Ein pruefer
las Skript und Treiber (kein blockierender Befund; der wichtige zu fehlenden Faellen fuer die
Fehlerzweige ist mit Nachbesserung 1 behoben, W10 bis W13).

Co-Authored-By: Claude Opus 5.5 <[email protected]>
Claude-Session: https://claude.ai/code/session_01JU1LsUp4FdmPq8mvC368G3

.vault-tools/plan-kopie/mutanten_lauf_kopie.sh

@@ -27,6 +27,31 @@
 #   mutanten_lauf.py nach dem SIGTERM nicht rechtzeitig endet; sein eigener SIGTERM-Handler setzt
 #   die Zieldatei vorher zurueck und raeumt seine Temp-Ordner auf.
 # - chmod 700 auf die Kopie der Kopie direkt nach dem Kopieren.
+#
+# Nachbesserung 2026-10-09 (Paket RB3 der Trading Plattform, Plan
+# docs/plans/2026-10-09-mutanten-kopie-loopback.md):
+# - lo im Netz-Namensraum: Im frischen Namensraum war lo aus; jeder Test mit einem Server auf
+#   127.0.0.1 scheiterte mit Errno 101, auch ohne Mutant. Jetzt startet unshare zusaetzlich mit
+#   --keep-caps, eine sh faehrt lo mit ip hoch, und setpriv wirft danach alle vererbbaren und
+#   ambienten Faehigkeiten ab und geht per exec in python3 ueber. Gemessen vom Koordinator am
+#   2026-10-09 in WSL Debian als Benutzer claude: uid 1000 wie aussen, CapEff und CapAmb 0,
+#   Verbindung ueber 127.0.0.1 gelingt. 127.0.0.1 ist das lo des Namensraums, nicht das des
+#   Rechners; ein Dienst des Rechners auf 127.0.0.1 bleibt unerreichbar (Treiber-Fall W8).
+# - exec-Kette: unshare, sh, setpriv und python3 sind derselbe Prozess, das SIGTERM von timeout
+#   trifft den Laeufer selbst; keine Zwischenschale bleibt stehen (Treiber-Fall W6).
+# - Vorpruefung vor dem Kopieren: Fehlt ip, setpriv oder python3, kommt lo in einer Probe im
+#   eigenen Namensraum nicht hoch, gelingt dort keine Verbindung ueber 127.0.0.1 oder hat die
+#   Probe nach setpriv noch CapEff oder CapAmb ungleich 0, endet das Skript mit
+#   MUTANTEN_LAUF_FEHLER und Exit 2, ohne EXIT-Zeile. Die Faehigkeiten prueft das Skript nur an
+#   dieser Probe und nur CapEff und CapAmb, nicht am Laeufer selbst; alle vier Mengen am Laeufer
+#   prueft Treiber-Fall W3. Die Vorpruefung steht vor der Suche nach mutanten.toml: Scheitert
+#   sie, endet das Skript auch fuer einen Planordner ohne mutanten.toml mit Exit 2 statt mit
+#   KEINE_MUTANTEN_TOML.
+# - Hauptaufruf: Kommt lo dort nicht hoch, endet das Skript nach der Modus-Zeile mit
+#   MUTANTEN_LAUF_FEHLER, Exit 2 und EXIT-Zeile, ohne den Laeufer zu starten. Ein Lauf ohne
+#   Netzsperre oder ohne lo ist nie die Ausweichloesung.
+# - Treiber: mutanten_lauf_kopie_treiber.py, Faelle W1 bis W13 (W10 bis W13 seit Nachbesserung 1,
+#   docs/plans/2026-10-09-mutanten-kopie-loopback-nachbesserung-1.md).
 set -u
 
 KOPIE_WIN="${1:-}"
@@ -55,6 +80,37 @@ if ! unshare --map-current-user --net true 2>/dev/null; then
     exit 2
 fi
 
+# Vorpruefung lo (seit 2026-10-09): Werkzeuge da, lo kommt im eigenen Namensraum hoch, eine
+# Verbindung ueber 127.0.0.1 gelingt, und nach setpriv sind CapEff und CapAmb 0. Scheitert
+# etwas davon, endet das Skript hier, vor dem Kopieren.
+for WERKZEUG in ip setpriv python3; do
+    if ! command -v "$WERKZEUG" >/dev/null 2>&1; then
+        echo "MUTANTEN_LAUF_FEHLER: $WERKZEUG fehlt (gebraucht fuer lo im Netz-Namensraum)"
+        exit 2
+    fi
+done
+LO_PROBE='import socket
+server = socket.socket()
+server.bind(("127.0.0.1", 0))
+server.listen(1)
+client = socket.create_connection(server.getsockname(), timeout=3)
+client.close()
+server.close()
+felder = {}
+for zeile in open("/proc/self/status", encoding="utf-8", errors="replace"):
+    schluessel, _, wert = zeile.partition(":")
+    felder[schluessel] = wert.strip()
+if int(felder["CapEff"], 16) != 0 or int(felder["CapAmb"], 16) != 0:
+    raise SystemExit("Faehigkeiten nicht abgeworfen: CapEff " + felder["CapEff"] + ", CapAmb " + felder["CapAmb"])
+print("lo-probe ok")'
+LO_AUSGABE=$(timeout 30 unshare --map-current-user --net --keep-caps \
+    sh -c 'ip link set lo up && exec setpriv --inh-caps=-all --ambient-caps=-all -- python3 -c "$1"' sh "$LO_PROBE" 2>&1)
+LO_EXIT=$?
+if [ "$LO_EXIT" -ne 0 ] || [ "$LO_AUSGABE" != "lo-probe ok" ]; then
+    echo "MUTANTEN_LAUF_FEHLER: lo im Netz-Namensraum nicht nutzbar (Exit $LO_EXIT): $LO_AUSGABE"
+    exit 2
+fi
+
 KOPIE=$(wslpath -u "$KOPIE_WIN")
 PLANORDNER=$(wslpath -u "$PLANORDNER_WIN")
 
@@ -88,7 +144,10 @@ else
     echo "modus: voll"
 fi
 
-timeout -k 15 "$BUDGET_S" unshare --map-current-user --net \
+# exec-Kette ohne Zwischenschale (seit 2026-10-09): unshare, sh, setpriv und python3 sind derselbe
+# Prozess, das SIGTERM von timeout trifft den Laeufer selbst (Treiber-Fall W6).
+timeout -k 15 "$BUDGET_S" unshare --map-current-user --net --keep-caps \
+    sh -c 'ip link set lo up || { echo "MUTANTEN_LAUF_FEHLER: lo im Netz-Namensraum nicht hochgefahren"; exit 2; }; exec setpriv --inh-caps=-all --ambient-caps=-all -- "$@"' sh \
     python3 -u /mnt/d/Claude/.vault-tools/plan-kopie/mutanten_lauf.py \
     --wurzel "$TMPKOPIE" --mutanten "$MUTANTEN_TOML" --zeitlimit "$ZEITLIMIT_S" $MUSTER_SCHALTER
 EXITCODE=$?