Question 1

BunkerWebで 'No migration file found for database version: 1.6.11~rc1' エラーを修正する方法は？

Accepted Answer

このエラーは、バージョン1.6.11~rc1が誤ってアップグレード対象として公開されたために発生します。解決するには、スケジューラを停止し、データベース内のバージョンを更新してから再起動してください。

1. スケジューラを停止します:
   - Docker: `docker compose stop bw-scheduler`
   - Linux: `sudo systemctl stop bunkerweb-scheduler`

2. BunkerWebデータベースに接続し（例：Dockerの場合は `docker compose exec bw-db mysql -u bunkerweb -p bunkerweb`、またはsqlite3/mysqlを直接使用）、次のSQLを実行します:
   ```sql
   UPDATE bw_metadata SET version = '1.6.11' WHERE id = 1;
   ```

3. スケジューラを再度起動します:
   - Docker: `docker compose start bw-scheduler`
   - Linux: `sudo systemctl start bunkerweb-scheduler`

Question 2

BunkerWebのWeb UIへのログインが常に「CSRF token is missing or invalid」エラーで失敗するのはなぜですか？

Accepted Answer

これは、共有の `FLASK_SECRET` が設定されていないマルチワーカー環境（bw-ui が複数の gunicorn ワーカーで動作している場合）で発生します。各ワーカーは独自の一時的なキーでセッションに署名するため、ログインページの読み込み時に発行された CSRF トークンは、POST を処理するワーカーでの検証に失敗します。パスワードはチェックされることすらありません。修正方法: 1) 安定したシークレットを生成します: `openssl rand -hex 32`。2) それを `bw-ui` コンテナの `FLASK_SECRET` 環境変数として設定します。例: docker-compose で `environment: - FLASK_SECRET=<generated-secret>`。3) bw-ui を再起動します。ログインはすぐに機能するようになります。すべてのワーカー/インスタンスが同一のシークレット値を共有していることを確認してください。

Question 3

BunkerWebの背後にあるZnunyでHTML自動応答をブロックするModSecurityの誤検知(HTTP 403)を修正する方法

Accepted Answer

OWASP CRS ルール 941100（libinjection 経由の XSS）および 941160（NoScript XSS InjectionChecker）が、`Response` パラメータ内のエディターで生成された HTML を検知し、インバウンドの異常スコアが閾値を超えてしまうため、ルール 949110 が 403 を返します。これは、CRS ルールより前（BEFORE）に読み込まれるサービス固有の `modsec-crs` カスタム設定に、スコープを絞った除外を追加することで修正できます：

```
SecRule REQUEST_URI "@rx ^/otrs/index[.]pl(?:[?].*)?$" \
    "id:1002200,phase:2,pass,nolog,t:none,chain"
    SecRule REQUEST_METHOD "@streq POST" "t:none,chain"
        SecRule ARGS:Action "@streq AdminAutoResponse" "t:none,chain"
            SecRule ARGS:Subaction "@streq ChangeAction" \
                "t:none,ctl:ruleRemoveTargetById=941100;ARGS:Response,ctl:ruleRemoveTargetById=941160;ARGS:Response"
```

これにより、Znuny の自動応答の更新（Action=AdminAutoResponse、Subaction=ChangeAction を指定した /otrs/index.pl への POST）の場合にのみ、`ARGS:Response` がルール 941100 および 941160 の検査対象から除外され、それ以外の CRS による保護はそのまま維持されます。この除外を適用すると、HTML の自動応答の保存が正常に行えるようになります。BunkerWeb 1.6.15 と OWASP CRS 4.29.0 で確認済みです。

Question 4

BunkerWebでnginxの設定テストが'invalid number of arguments in client_body_timeout'エラーで失敗するのはなぜですか？

Accepted Answer

BunkerWeb 1.6.9では、client_body_timeoutなどのタイムアウト設定が明示的に定義されていない場合、デフォルトで空の値になることがあり、nginx config testが失敗する原因となります。回避策: 対応する環境変数に有効な期間（例: '60s'）を設定してください。Docker runコマンドまたはサービス定義に、`-e CLIENT_BODY_TIMEOUT=60s -e CLIENT_HEADER_TIMEOUT=60s -e KEEPALIVE_TIMEOUT=60s -e SEND_TIMEOUT=60s` を追加してください。このバグはissue #3450で追跡されており、将来のリリースで修正される予定です。

Question 5

1.6.10-rc6でMariaDBを使用してクリーンインストールを行った後、BunkerWebのセットアップウィザードが表示されない問題を修正するにはどうすればよいですか？

Accepted Answer

これは、Linux インストーラーが MariaDB を自動的に構成する際に発生する BunkerWeb 1.6.10~rc6 のリグレッション（回帰バグ）のようです。インストーラーのサマリーには「Setup wizard: Enabled」と表示されますが、https://server-ip/setup は読み込まれません。回避策: インストーラーを再実行し、1. MariaDB ではなく 3. Skip (keep SQLite, or configure DATABASE_URI manually later) を選択してください。サマリーに Database: SQLite と表示されたら、インストールを完了し、再度 https://server-ip/setup にアクセスしてください。セットアップウィザードは rc6 では SQLite で正常に動作します。バグが修正されるまでは、自動インストールされる MariaDB オプションの使用は避けてください。

bunkerweb

主な機能

できないこと

使用例

タグ

はじめ方

類似プロジェクト