CVE-2017-9841 - Ejecución Remota de Código(RCE) en PHPUnit

Esta vulnerabilidad afecta a versiones de PHPUnit anteriores a la 4.8.28 y a todas las versiones 5.x anteriores a la 5.6.3. Permite a los atacantes ejecutar código PHP arbitrario en servidores donde PHPUnit está expuesto. El problema existe en el archivo eval-stdin.php ubicado en el directorio Util/PHP de PHPUnit. Cuando este archivo es accesible (típicamente cuando la carpeta /vendor está expuesta), los atacantes pueden enviar peticiones HTTP POST maliciosas que contienen código PHP que comienza con <?php para ejecutar comandos arbitrarios en el servidor.

Impacto

• Ejecución remota de código en servidores vulnerables
• Compromiso total del servidor si PHPUnit está expuesto
• Particularmente peligroso cuando los directorios /vendor son accesibles públicamente

Versiones Afectadas

• PHPUnit 4.x anterior a 4.8.28
• PHPUnit 5.x anterior a 5.6.3

Solución

• Actualizar PHPUnit a la versión 4.8.28 o 5.6.3 (o posterior)
• Asegurarse de que los directorios /vendor no sean accesibles públicamente
• Eliminar o restringir el acceso a eval-stdin.php si la actualización no es posible de inmediato