Am Dienstag, dem 24. März 2026, führte Linear eine Codeänderung ein, die Daten aus privaten Teams für andere Mitglieder desselben Workspace offenlegte. Etwa eine Stunde lang, von 12:07 bis 1:10 Uhr UTC, konnten Workspace-Mitglieder einschließlich Gastnutzern auf Daten außerhalb ihrer normalen Teamberechtigungen zugreifen.
Die Autorisierungsschicht von Linear verwendet „Sync-Group“-Resolver, um pro Abfrage Berechtigungsfilter hinzuzufügen. Eine Leistungsoptimierung war darauf ausgelegt, Resolver zu überspringen, die niemals mit einem Nutzer übereinstimmen konnten, und war so eingeschränkt, dass sie nur in einem einzigen internen Workspace lief. Doch der Codepfad, der die Optimierung anderswo deaktivierte, wies einen Variable-Shadowing-Fehler auf: Statt auf die ursprünglichen Filter zurückzufallen, verwarf er alle nutzerspezifischen Resolver, sodass die nachgelagerte Berechtigungsprüfung vollständig übersprungen wurde und Abfragen stillschweigend ungefilterte Ergebnisse zurückgaben.
Die Änderung war von Kollegen überprüft und getestet worden, doch nur der Pfad mit aktiver Optimierung war abgedeckt; niemand testete den Pfad, der für andere Workspaces deaktiviert war. Das Team von Linear betonte ausdrücklich, dass der Fehler nicht von KI geschrieben wurde – es handelte sich um eine menschliche Variable-Shadowing-Regression, die eine Lücke in der Testabdeckung aufdeckte.
Die Offenlegung erfolgte über Benachrichtigungszusammenfassungen (ein Mitglied konnte eine Zusammenfassung für den gesamten Workspace erhalten), Client-Sync-Bootstraps, mobile Sitzungen und breite OAuth-/API-Abfragen. Es gelangten keine Anmeldedaten oder API-Schlüssel an die Öffentlichkeit, und es gab keine Hinweise auf böswilligen Missbrauch. Linear machte die Änderung innerhalb einer Stunde rückgängig, erzwang ein Neuladen von Web- und Desktop-Clients, meldete aktive mobile Sitzungen ab und benachrichtigte die betroffenen Workspace-Kontakte innerhalb von 48 Stunden.
Etwa eine Stunde lang am 24. März 2026 waren Daten privater Teams für andere Mitglieder und Gäste desselben Workspace zugänglich; etwa 7.000 Syncs und API-Aufrufe könnten sie abgerufen haben.
Der deaktivierte Pfad der Optimierung wies einen Variable-Shadowing-Fehler auf, der alle nutzerspezifischen Resolver ausließ.
Die Testabdeckung validierte die Optimierung im aktiven Zustand, jedoch nicht den Pfad, auf dem sie abgeschaltet war.
Berechtigungsprüfungen versagten offen: Die Abfrage gab Ergebnisse zurück, statt einen Fehler auszulösen.
Benachrichtigungs-, Sync-, Mobil- und API-Schichten vertrauten alle auf die fehlerhafte Berechtigungsschicht.
Eine Zugriffskontroll-„Optimierung“, die einen Filter überspringt, ist nur dann sicher, wenn ihr deaktivierter Pfad getestet wird – andernfalls gibt eine Überprüfung des Erfolgspfads grünes Licht für eine stillschweigende Ausweitung von Berechtigungen.
Linear erweiterte Integrationstests über Bereitstellungsumgebungen, Teamtypen, Rollen, Gastzugriff und Authentifizierungsmethoden hinweg, begrenzte die Anzahl der Benachrichtigungselemente pro Zusammenfassung und verpflichtete sich zu strengeren Sicherheitsüberprüfungen vor der Bereitstellung sowie zur Überwachung von Autorisierungsanomalien. Das Unternehmen benachrichtigte die Eigentümer der betroffenen Workspaces und stellte auf Anfrage Zusammenfassungen der Offenlegung pro Workspace bereit. Nutzer beschrieben es als einen seltenen, transparent gehandhabten Sicherheitsvorfall eines Unternehmens, das gerade die Marke von 100 Mio. USD ARR überschritten hatte.
DEN BELEGEN FOLGEN
Die Quellen
- Post mortem on Linear security incident on March 24th, 2026 Linear · linear.app ·
- User-specific data accessible to the wrong users within the same workspace Linear Status · linearstatus.com ·
- Linear discloses a data exposure incident Devbytes · devbytes.co.in ·