Execution error pcre limits exceeded

На этой странице описаны ошибки модуля ModSecurity под веб-сервером Apache и способы их устранения, а также различные проблемы связанные с использованием Mod_Security

ModSecurity: collections_remove_stale: Failed to access DBM file

Интересная ошибка mod_security, так сразу, с разбега, её локализировать и не получилось…

less /var/log/httpd/error_log|grep remove_stale
# or
less /var/log/apache2/error.log|grep remove_stale

Указание полного пути к каталогу /tmp в директиве SecDataDir и SecTmpDir может и нерешить проблему:

vi /etc/httpd/conf.d/00_mod_security.conf
...
SecDataDir /tmp
SecTmpDir /tmp

Смена владельца каталога /tmp/ на nobody также недаст желаемого результата. Владельцем каталога /tmp/ по умолчанию является «chown -R root:root /tmp» и правами на выполнение/запись для всех «chmod 0777 /tmp«

Создание отдельного каталога с установкой прав и явным указанием полного пути к каталогу в директиве SecDataDir и SecTmpDir также может нерешить проблему

mkdir /var/log/httpd/mod_security /var/log/httpd/mod_security/data
chown -R apache:apache /var/log/httpd/mod_security
chmod -R 0777 /var/log/httpd/mod_security
vi /etc/httpd/conf.d/00_mod_security.conf

Кому-то якобы помогало решить проблему «ModSecurity: collections_remove_stale: Failed to access DBM file» созданием директории tmp в chroot директории:

# Нужно создать директорию tmp в chroot директории сервера
# Обычно это /var/www/ или /var/apache2/
mkdir /var/www/tmp
# Установить владельцем каталога, пользователя под которым 
# изначально запускается сервер, обычно apache или www-data
chown -R apache:apache /var/www/tmp
# Дать разрешение на выполнение/запись для всех, кроме публичных
chmod -R 770 /var/www/tmp
# Или создать символьную ссылку (ака Symbolic link)
ln -s /tmp /var/www/tmp
# Перезапустить сервер
apachectl graceful

Собственно решение проблемы в моём случае было такое:

По ошибке «ModSecurity: collections_remove_stale: Failed to access DBM file» есть ещё некоторые размышления, но мне лично они непригодились:

• Increasing ModSecurity Collection Size Limits

Если все хорошо, то ошибки mod_security «ModSecurity: collections_remove_stale: Failed to access DBM file» в логфайлах быть недолжно, а в каталоге /tmp должны быть файлы: global.pag, ip.pag, global.dir и ip.dir

Если в системе установлена SELinux, то нужно попробовать отклюить её:

$ setenforce 0
 
или
 
$ echo 0 > /selinux/enforce

Если после отключения SELinux проблема решена, значит создадим правило и снова включим SELinux:

$ chcon -R system_u:object_r:httpd_sys_content_t /path/to/modsec_storage
 
$ setenforce 1
 
или
 
$ echo 1 > /selinux/enforce

Если ничего не помогло, то последнее, что можно сделать это отключить правила связанные со сбором IP: 900050, 900018, 900020, 900021

SecRuleRemoveById not allowed here

[Sun Sep 08 13:30:30 2013] [alert] [client 98.135.221.142] /var/www/public_h
tml/.htaccess: SecRuleRemoveById not allowed here, referer: http://example.
com/index.php

Ошибка mod_security «SecRuleRemoveById not allowed here» возникает только при исполнении PHP файлов, при открытии ХТМЛ файлов эта ошибка обычно не проявляется.

Использование директив mod_security в файле .htaccess разрешено только в том случае, если во время компиляции модуля .htaccess был указан флаг --enable-htaccess-config и если он был действительно указан, то в .htaccess можно будет использовать такие директивы mod_security

• SecAction
• SecRule
• SecRuleRemoveByMsg
• SecRuleRemoveByTag
• SecRuleRemoveById
• SecRuleUpdateActionById
• SecRuleUpdateTargetById
• SecRuleUpdateTargetByTag
• SecRuleUpdateTargetByMsg

На практике большая часть модулей mod_security, доступных из различных репозиториев, компилируется без указания --enable-htaccess-config, например mod_security из репозитория atomic

ModSecurity: Execution error — PCRE limits exceeded

[Fri Sep 06 15:07:59 2013] [error] [client 183.168.233.180] ModSecurity: Rule 7f
8b022e38e8 [id «981256»][file «/etc/httpd/modsecurity.d/activated_rules/modsecur
ity_crs_41_sql_injection_attacks.conf»][line «232»] — Execution error — PCRE lim
its exceeded (-8): (null). [hostname «example.com»] [uri «/forum»] [unique_id «U
im3j12qg3EAABGaVwoAAAAI»]

PCRE (Perl Compatible Regular Expressions) — библиотека, которая реализует работу регулярных выражений в стиле Perl, но с некоторыми отличиями.

Лимит для ModSecurity «PCRE limits» можно изменить следующим образом:

vi /etc/httpd/modsecurity.d/modsecurity.conf
 
# PCRE Tuning
# We want to avoid a potential RegEx DoS condition
#
SecPcreMatchLimit 1000
SecPcreMatchLimitRecursion 1000
 
apachectl graceful

Изменять лимит ModSecurity «PCRE limits» выше значения по умолчанию нерекомендуется! Значение по умолчанию для SecPcreMatchLimit и SecPcreMatchLimitRecursion = 1500.

Ошибка «ModSecurity: Execution error — PCRE limits exceeded» часто может возникать из-за неправильно составленных правил или например из-за того, что версия правил устаревшая и не соответствует версии самого модуля mod_security.

Другими словами если версия mod_security 2.7.5, а версия правил 2.2.6, то нам явно нужно обновить правила mod_security до версии 2.2.8, здесь читаем список изменений в правилах owasp-modsecurity-crs

После загрузки и распаковки/обновления правил также рекомендуется обновить и modsecurity_crs_10_setup.conf:

wget -O master.zip https://github.com/SpiderLabs/owasp-modsecurity-crs/archive/master.zip
unzip master.zip
rm master.zip
 
cp -Rf owasp-modsecurity-crs-master/* /etc/httpd/modsecurity.d/
rm -Rf owasp-modsecurity-crs-master
 
cd /etc/httpd/modsecurity.d/
 
cp modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
 
ln -s /etc/httpd/modsecurity.d/modsecurity_crs_10_setup.conf 
    /etc/httpd/modsecurity.d/activated_rules/modsecurity_crs_10_setup.conf
 
for f in `ls base_rules` ; do ln -s /etc/httpd/modsecurity.d/base_rules/$f 
    /etc/httpd/modsecurity.d/activated_rules/$f ; done
 
ls -l activated_rules

Ссылки по теме:

• ModSecurity: Open Source Web Application Firewall — Documentation
• Mod_Security .htaccess tricks

Есть ошибка модуля ModSecurity, но нет решения, тогда пишем в комментарии…

Just about on every request I am getting the following error:

Rule execution error - PCRE limits exceeded (-8): (null).

After a bunch of googling the only solutions seem to be

a) Add the following in your httpd.conf

SecPcreMatchLimit 150000
SecPcreMatchLimitRecursion 150000

b) Add the following to your php.ini

pcre.backtrack_limit = 10000000
pcre.recursion_limit = 10000000

c) Use a version that was compiled with -disable-pcre-match-limit option.

I am running the following:

ModSecurity for Apache/2.5.12 (http://www.modsecurity.org/).

Apache/2.2.16 (Debian) PHP/5.3.3-7+squeeze8 with Suhosin-Patch mod_ssl/2.2.16 OpenSSL/0.9.8

For ModSec my rules, I am using the OWASP ModSecurity Core Rule Set Project version (CRS) version 2.2.3 which is the newest as of this posting.

My httpd.conf consists of essentially:

<IfModule security2_module>
    SecUploadDir /var/asl/data/suspicious
    SecDataDir /var/asl/data/msa
    SecTmpDir /tmp
    SecAuditLogStorageDir /var/asl/data/audit

    Include modsecurity.d/modsecurity_crs_10_config.conf
    Include modsecurity.d/activated_rules/*.conf

    SecRuleEngine On

    # Debug log
    SecDebugLog /var/log/apache2/modsec_debug.log
    SecDebugLogLevel 3

    # Serial audit log
    SecAuditEngine RelevantOnly
    SecAuditLogRelevantStatus ^5
    SecAuditLogParts ABIFHZ
    SecAuditLogType Serial
    SecAuditLog /var/log/apache2/modsec_audit.log

    SecPcreMatchLimit 150000
    SecPcreMatchLimitRecursion 150000

</IfModule>


<IfModule mod_php5.c>
    php_admin_flag pcre.backtrack_limit 10000000
    php_admin_flag pcre.recursion_limit 10000000
</IfModule>

Of which inside my modsecurity.d directory is just all the default rules CRS has in their install file. I have also set the pcre limits to 150000000 and 100000000000 and more, but to no available.

So in conclusion:

solutions a and b are not working, and I prefer greatly not to do c…as I don’t really understand/like compiling.

Anyone have any other ideas?

Isn’t it irritating to see ‘ModSecurity PCRE limits exceeded’ error?

This error generally occurs when the value of the variables SecPcreMatchLimit and SecPcreMatchLimitRecursion are too low. It can even occur when the server is under a DOS attack too.

At Bobcares, we often receive requests to fix ModSecurity errors as a part of our Server Management Services.

Today, let’s discuss the cause of this error see how our Support Engineers fix it.

What causes ModSecurity PCRE limits exceeded error to occur?

Before heading for the cause of this error, let’s take a look at what PCRE is. And then we shall see what causes this error to occur.

PCRE is abbreviated as Perl Compatible Regular Expressions. The PCRE package contains PCRE libraries. These are useful for implementing regular expression pattern matching using the same syntax and semantics as Perl.

PCRE limits are the settings internal to the PCRE engine. They are used to limit the maximum amount of memory/time spent on trying to match some text to a pattern.

If the PCRE limit is low then it is more difficult to subvert PCRE and the regular expressions to commit DoS attacks. The different PCRE limits include SecPcreMatchLimit, SecPcreMatchLimitRecursion, pcre.backtrack_limit, and pcre.recursion_limit.

The default value set for this limit is 10 million. In case, if a proper value is not provided then the ModSecurity will throw an error.

These limits are the major cause for this error to occur. This can be an aftereffect of complex Modsecurity rules. The content may be so complex that the WAF stops doing too much work which could lead to a DOS attack on the system itself. Additionally, the error can display when the server is actually under a DDOS attack.

How we fix ModSecurity PCRE limits exceeded?

Having a decade of experience in managing servers, our Dedicated Engineers are familiar with the ModSecurity errors. The primary objective is to find whether the server is actually under attack or not.

Now, let’s discuss how our Support Engineers fix this error.

Recently, one of our customers received the below error message

mod_security - PCRE limits exceeded (-8): (null)

As a first step, we examined the server log files to ensure that the server was not under attack. This happened due to the complex regular expression on the websites. Thus, we had to raise the PCRE limits to fix the error.

So, our Support Engineers added the below codes in httpd.conf file.

SecPcreMatchLimit 150000
SecPcreMatchLimitRecursion 150000

Then, we added the below codes in php.ini file.

pcre.backtrack_limit = 10000000
pcre.recursion_limit = 10000000

After that, we restarted the Apache using the command:

service httpd restart

Finally, this fixed the error.

[Need any assistance with Modsecurity errors? – We’ll help you]

Conclusion

In short, the error ModSecurity PCRE limits exceeded occurs due to the low value set for PCRE limits. Today, we saw how our Support Engineers fix this error.

var google_conversion_label = «owonCMyG5nEQ0aD71QM»;

I have problem when implementing modsecurity and crs. Here is the issue, I hope anyone can give us some guide for resolving this issue.

Apache version :

Server version: Apache/2.4.29 (Ubuntu) Server built:
2022-06-23T12:51:37

ModSecurity version :

modsecurity-2.9.6 (compiled from source)

Error :

[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "92"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "249"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "276"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "329"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "355"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "381"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "407"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "433"] - Execution error - PCRE limits exceeded (-8): (null).
[id "-"][file "/etc/apache2/modsecurity.d/owasp-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf"][line "459"]

Thing What I have done :

Set this value (tested before or after load crs.conf):

 SecPcreMatchLimit 5000000 
 SecPcreMatchLimitRecursion 5000000

Add in php.ini

pcre.backtrack_limit=1000000
pcre.recursion_limit=1000000

restart php-fpm and apache2

And no luck!, the issue still persist.

Any ideas how to fix this.

Thank you.