CVE-2017-9841 - PHPUnit Remote Code Execution(RCE)

Diese Schwachstelle betrifft PHPUnit-Versionen vor 4.8.28 und alle 5.x-Versionen vor 5.6.3. Sie ermöglicht Angreifern, beliebigen PHP-Code auf Servern auszuführen, auf denen PHPUnit zugänglich ist. Das Problem liegt in der Datei eval-stdin.php im Util/PHP-Verzeichnis von PHPUnit. Wenn diese Datei zugänglich ist (typischerweise wenn der /vendor-Ordner freigegeben ist), können Angreifer bösartige HTTP-POST-Anfragen mit PHP-Code senden, der mit <?php beginnt, um beliebige Befehle auf dem Server auszuführen.

Auswirkungen

• Remote-Code-Ausführung auf verwundbaren Servern
• Vollständige Kompromittierung des Servers, wenn PHPUnit zugänglich ist
• Besonders gefährlich, wenn /vendor-Verzeichnisse öffentlich zugänglich sind

Betroffene Versionen

• PHPUnit 4.x vor 4.8.28
• PHPUnit 5.x vor 5.6.3

Lösung

• Aktualisieren Sie PHPUnit auf Version 4.8.28 oder 5.6.3 (oder neuer)
• Stellen Sie sicher, dass /vendor-Verzeichnisse nicht öffentlich zugänglich sind
• Entfernen oder beschränken Sie den Zugriff auf eval-stdin.php, wenn ein Upgrade nicht sofort möglich ist

Referenzen

• CVE-2017-9841