LiveConfig und Drupal

Ohne es gestestet zu haben: Könnte in der .htaccess +FollowSymlinks stehen?

Qick and dirty fix: wenn du die Datei nicht brauchst, Inhalt löschen und die Schreibrechte nehmen

Zitat von weltmeister

HIm Verzeichnis /htdocs/sites/default/files wird durch Drupal eine htaccess-Datei generiert, welche einen Server-Error (500) verursacht. Löscht man diese ist die Installation lauffähig. Leider wird genau diese Datei von Drupal neu erzeugt, wenn man diese löscht oder verändert

Error-Log aktivieren und dort nachschauen.

Hallo,

ich habe das hier mit der aktuellen Drupal Version 7.44 nachvollziehen können. Unter

/htdocs/sites/default/files

wird von Drupal eine .htaccess Datei angelegt in der wie hier schon richtig vermutet ein

Options +FollowSymLinks

drin steht.

Leider wird diese .htaccess Datei von Drupal beim Abschließen der Installation über den Drupal eigenen Installer angelegt und mit Inhalten gefüllt.
Es gibt hierzu schon länger (seit 2011) einen Issue auf der Drupal Webseite: https://www.drupal.org/node/1269780. Leider hat sich da bisher nocht nichts getan.

Auch uns sind hier quasi die Hände gebunden da zum Zeitpunkt des Anlegens der Datei sämtliche LiveConfig Scripte bereits beendet sind.

Zumindest zeitweise Abhilfe schafft es die .htaccess Datei folgendermaßen abzuändern:

# Turn off all options we don't need.
Options None
#Options +FollowSymLinks # diese Zeile auskommentieren
Options +SymLinksIfOwnerMatch # diese Zeile einfügen


# Set the catch-all handler to prevent scripts from being executed.
SetHandler Drupal_Security_Do_Not_Remove_See_SA_2006_006
<Files *>
  # Override the handler again if we're run later in the evaluation list.
  SetHandler Drupal_Security_Do_Not_Remove_See_SA_2013_003
</Files>


# If we know how to do it safely, disable the PHP engine entirely.
<IfModule mod_php5.c>
  php_flag engine off
</IfModule>

Ich kann allerdings in keinster Weise garantieren dass diese Änderung nicht irgendwann von Drupal wieder Rückgängig gemacht wird.

Sämtliche Lösungsansätze die wir hier im Büro diskutiert haben laufen allesamt darauf hinaus in den normalen Ablauf von Drupal einzugreifen (sei es durch ausliefern der generierten Datei oder durch Patchen der generierenden Datei). Da wir hier den Ansatz des minimal invasiven verfolgen kommen solche Bastellösungen für uns nicht in Frage.

Sollte jemand eine andere Idee haben wie wir unseren Installer anpassen können um dieses Problem zu umgehen sind kann er uns gerne Bescheid sagen.

Viele Grüße
Christoph Russow

Das Problem mit "Options +FollowSymLinks" und co habe ich auch bei normalen Magento Installationen. Unproblematisch wenn man sie selber installiert und weiss woran es liegt aber Kunden fragen dann doch immer irritiert nach.
Kann man sowas vielleicht Global aushebeln?

Hallo,

Zitat von Mogwais

Das Problem mit "Options +FollowSymLinks" und co habe ich auch bei normalen Magento Installationen. Unproblematisch wenn man sie selber installiert und weiss woran es liegt aber Kunden fragen dann doch immer irritiert nach.
Kann man sowas vielleicht Global aushebeln?

Leider nein. Der einzige Weg die Fehlermeldung loszuwerden wäre global +FollowSymLinks zu erlauben was im Prinzip dem öffnen einer Scheunentor großen Security Lücke gleichkommt da damit jeder User auf sämtliche Daten zugreifen kann.

Viele Grüße
Christoph Russow