Descripción: La vulnerabilidad Treck .svn/entries Disclosed via Web Server, se refiere a que el servidor web remoto revela información debido a una debilidad en la configuración; ya que permite el acceso de lectura a los archivos ‘.svn/entries‘. Esto expone todos los nombres de archivo en su módulo svn en su sitio web. Esta falla también se puede utilizar para descargar el código fuente de los scripts (PHP, JSP, etc…) alojados en el servidor remoto.

Factor de Riesgo: Crítico
Valor CVSS Base: 10.0

Solución: 
Se deben configurar los permisos para que el servidor web deniegue el acceso al directorio ‘.svn’.

  1. Identificar la presencia de directorios .svn en el servidor web, utilizando el comando find en sistemas Linux o dir en Windows para buscar y localizar los directorios .svn en tu servidor web. Por ejemplo: 
    find /ruta/al/servidor/web -type d -name ".svn"
  2. Una vez identificados los directorios .svn, puede eliminarlos utilizando el comando rm en Linux o rmdir en Windows. Asegurese de ejecutar estos comandos con privilegios suficientes y teniendo cuidado de no eliminar accidentalmente otros archivos importantes. 
    dsrm -rf /ruta/al/servidor/web/.svn
  3. Restringir el acceso a archivos de control de versiones en el servidor web, para evitar que los archivos de control de versiones sean accesibles públicamente, se sugiere utilizar reglas de configuración del servidor web para denegar el acceso a estos archivos. Los comandos específicos pueden variar según el servidor web que estés utilizando. Para un servidor Apache: Abre el archivo de configuración de Apache (por ejemplo, httpd.conf o apache2.conf); agregue las siguientes líneas al archivo de configuración para denegar el acceso a archivos .svn: 
    <DirectoryMatch "^/.*/\.svn/">
Require all denied
</DirectoryMatch>

    Finalmente guarde cambios y reinicie servidor Apache

  4. Verifique que los directorios .svn ya no son accesibles, utilizando un navegador web o una herramienta de escaneo para acceder a los directorios .svn previamente identificados y verificar que el acceso haya sido denegado correctamente.

Referencias

https://techcrunch.com/2009/09/23/basic-flaw-reveals-source-code-to-3300-popular-websites/

 

 

 

<DirectoryMatch "^/.*/\.svn/">
Require all denied
</DirectoryMatch>