Update 4.3.3 .htaccess nicht überschrieben!

Archive Shopware 3.5
1

Hallo Zusammen, da ja einige Sicherheitsupdates ? mit eingespielt werden sollten und der Stand der Version 11:30 Uhr sein soll, habe ich festgestellt, dass meine .htaccess Dateien nicht überschrieben wurden. Da aber genau da die Sicherheitsprobleme liegen, rate ich jedem mal seine Dateien anzusehen und mit denen auf Github zu vergleichen. Folgendes wurde unter anderem hinzugefügt: [code]# Disables download of configuration
# Deny all requests from Apache 2.4+.

Require all denied

# Deny all requests from Apache 2.0-2.2.
<ifmodule>
    Deny from all
</ifmodule>

[/code] sowie: <ifmodule mod_alias.c> # Block access to VCS directories RedirectMatch 404 /\\.(svn|git|hg|bzr|cvs)(/|$) </ifmodule> und noch einiges mehr in anderen Ordnern an der .htaccess Datei. Wenn da steht, IfModule, dann solltet Ihr natürlich prüfen ob das Modul überhaupt geladen ist in eurer Apache-Version, sonst macht das keinen Sinn. Vielleicht wäre es auch eine Idee, dem User zu schreiben, welche Version und welche Module er unbedingt installieren sollte. Bzw. gleich beim Update darauf hinweisen, dass eine Installation zwar möglich ist, jedoch folgende Module in Apache / Nginx geladen werden sollten. Eine andere Möglichkeit wäre, falls das überschreiben nicht gewünscht oder möglich ist bei vorhandener Datei, darauf hinzuweisen, sonst könnte ein Anwender (einfacher Showbetreiber) noch glauben, er und alles andere sei nun sicher. Gruß Zwilla p.s. Da meine Installation nicht wollte und auf Dateirechten rumhackte habe ich alles auf 777 gesetzt und danach wieder zurück auf den Standard. hier mal eine Liste der Ordner: [*] shopware/.htaccess [*] shopware/bin/.htaccess [*] shopware/cache/.htaccess [*] shopware/engine/Library/.htaccess [*] shopware/files/documents/.htaccess [*] shopware/logs/.htaccess [*] shopware/recovery/update/.htaccess [*] shopware/recovery/install/.htaccess [*] shopware/vendor/.htaccess bitte Liste erweitern (copy&paste)

2

Hallo Die htaccess Dateien haben die Anweisungen für Apache 2.2 zusätzlich in der bei Apache 2.4 korrekten Form erhalten. Das zweite Beispiel ist sowieso nur für Entwickler relevant und die sollten sich auch selber um ihre Versionierungswerkzeuge kümmern. Der normale Shopuser hat damit eigentlich nichts zu tun. Wenn die verwendete Apache Version noch 2.2 ist, dann hat das keine Auswirkungen und wenn es schon 2.4 ist, dann wird der Hoster hoffentlich bereits ein Modul mitgeliefert haben, das für die Zugriffsberechtigungen die Kompatibilität automatisch herstellt. htaccess-dateien automatisch zu überschreiben, ist keine gute Idee,denn dort können/müssen evtl. noch vom Shopware-Standard abweichende Bedingungen stehen. Außerdem lassen die sich durchaus nicht immer vom php-Prozess überschreiben.