[3.3](ERLEDIGT) Moderations Probleme nach update (Forbidden You don't have permission to access this resource) Strato

[chris1278]

Ist kein Problem.

[Steve Wuppertal]

Hm, habe das die Tage mit einer Wordpress Installation in Verbindung mit Strato festgestellt...
Beim Versuch Spam Kommentare (oder generell Kommentare) zu löschen, ist die gleiche "Forbidden" Meldung gekommen.

In phpBB ist mir das bis jetzt noch nicht aufgefallen.
Hatten aber dort auch diesen Monat keinen Grund im Moderationsbereich etwas zusammenzufügen oder zu verschieben.

[chris1278]

Du kannst ja mal versuchen da sollte direkt so ne meldung kommen.

[Steve Wuppertal]

Ok, dito, bin mit im Club

[chris1278]

Immerhin wird hier bestätigt dasd das problem definitiv bei m hoster liegt. jetzt heist es abwarten.

[LukeWCS]

Steve, okay, also auch Strato. Somit deutet das nun darauf hin, das wir hier ein Strato/ModSecurity/phpBB Problem haben.

Chris, wenn du nichts dagegen hast, machen wir aus dem Thema hier ein Sammelthema? Ich würde dann den Titel anpassen.

[Steve Wuppertal]

Nicht nur phpBB Problem...
Wordpress erwischt es in der Verbindung auch (kein löschen von kommentaren der User mehr möglich)

[chris1278]

Ja kannst du machen. Wenn es anderen auch hilft immer gerne.

[69bruno]

Vielleicht hilft dieser Hinweis von Apache.org:

Code: Alles auswählen

important: Apache HTTP Server weakness with encoded question marks in backreferences (CVE-2024-38474)
Substitution encoding issue in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows attacker to execute scripts in directories permitted by the configuration but not directly reachable by any URL or source disclosure of scripts meant to only to be executed as CGI.

Users are recommended to upgrade to version 2.4.60, which fixes this issue.

Some RewriteRules that capture and substitute unsafely will now fail unless rewrite flag "UnsafeAllow3F" is specified.

Acknowledgements: finder: Orange Tsai (@orange_8361) from DEVCORE

Reported to security team	2024-04-01
fixed by r1918561 in 2.4.x	2024-07-01
Update 2.4.60 released	2024-07-01
Affects	2.4.0 through 2.4.59

[LukeWCS]

Das ist interessant Bruno. Demnach gabs bei Apache 2.4.0 - 2.4.59 eine Sicherheitslücke, die jetzt mit 2.4.60 behoben wurde. Ergo läuft seit kurzem bei Strato Apache 2.4.60 (oder 2.4.61) und bei entsprechenden URLs wird das direkt von Apache geblockt, nicht von ModSecurity, wie bisher angenommen.

Allerdings habe ich lokal im TB bereits 2.4.61 und hatte dieses Problem bisher noch nicht. Weder bei Moderator Aktionen noch bei Exts.

Aber das beschriebene Sicherheitsproblem würde exakt zu den URLs passen, die bei phpBB Moderator Aktionen und auch bei bestimmten Exts generiert werden. Festgestellt als ich mir aufgrund deines Beitrags das Apache Changelog angeschaut habe, sowie die geänderte Apache Doku bezüglich RewriteRule.

Ich versuche im TB das Ganze mal nachzustellen.