[spip-dev] Accès répertoires svn

Dev
1

Bonjour !

Je viens de m’apercevoir qu'on peut accéder à http://www.spip.net/.svn/entries
Peut-être pas très grave de point de vue sécurité.
Mais cela montre quelle version on utilise et rend accessible aussi des adresses email...
Même situation avec notre propre site.

Faudrait-il faire quelque chose pour empêcher cela ? Si oui, quoi ?

merci, Paolo

2

Bonjour,

Il faut rajouter dans le fichier .htaccess ceci :

<DirectoryMatch .*\.svn/.*>
    Deny From All
</DirectoryMatch>
3

Salut Teddy,
Merci. (Cette config, c'est plutôt dans le fichier de /apache22/vhosts/...)
Mais si je poste ici, c'est surtout que je voulais avertir les devs que ce fichier est visible. Mais ce n'est peut-être pas grave...

Paolo

4

Il faut rajouter dans le fichier .htaccess ceci :
<DirectoryMatch .*\.svn/.*>
     Deny From All
</DirectoryMatch>

Salut Teddy,

Merci. (Cette config, c'est plutôt dans le fichier de /apache22/vhosts/...)
Mais si je poste ici, c'est surtout que je voulais avertir les devs que ce
fichier est visible. Mais ce n'est peut-être pas grave...

Paolo

Oui, c'est aussi un réglage du vhost, mais tout le monde n'a pas la main
sur le vhost.

J'avais signalé le même type de visibilité :
http://www.spip.net/prive/
http://www.spip.net/CHANGELOG.txt
http://www.spip.net/COPYING.txt
http://www.spip.net/htaccess.txt
http://www.spip.net/INSTALL.txt (D'ailleurs pour ce dernier, il faudrait
mettre à jour l'info… PHP 5.1…)

5

Hop,

Bonjour !

Je viens de m’apercevoir qu'on peut accéder à
http://www.spip.net/.svn/entries
Peut-être pas très grave de point de vue sécurité.
Mais cela montre quelle version on utilise et rend accessible aussi des
adresses email...
Même situation avec notre propre site.

Faudrait-il faire quelque chose pour empêcher cela ? Si oui, quoi ?

Bien vu Paolo, je pense qu'il faudrait modifier la règle suivante du htaccess de SPIP :

RewriteRule ^(.*/)?\.svn/ - [F]

http://core.spip.org/projects/spip/repository/entry/spip/htaccess.txt#L120

En complétant comme ceci :

RewriteRule ^(.*/)?\.svn(/|$) - [F]

On pourrait aussi interdire l'accès au répertoires des autres CVS (git au moins), et pourquoi pas à tous les fichier "cachés". Dans ce cas, cette règle, proposée dans le post cité ci-dessus, ferait l'affaire :

RewriteRule /\\..*(/.*|$) - [F]

D'autres avis sur la question ?

6

Coucou

En complétant comme ceci :

RewriteRule ^(.*/)?\.svn(/|$) - [F]

On pourrait aussi interdire l'accès au répertoires des autres CVS (git
au moins), et pourquoi pas à tous les fichier "cachés". Dans ce cas,
cette règle, proposée dans le post cité ci-dessus, ferait l'affaire :

RewriteRule /\\..*(/.*|$) - [F]

perso c'est ce que je trouve le plus pertinent.
et ceux qui connaissent un peu mieux pourront changer,
c'est aussi le comportement par defaut sous un mac: masquer les fichiers débutants par un point.

7

Oui ça a aussi le mérite de bloquer les “shells” qui sont parfois installés par des pirates dans des répertoires masqués, pour être plus difficilement détectables.

8

Et hop,