CVE-2017-9841

Laravel-RCE: CVE-2017-9841

CVE-2017-9841 es una vulnerabilidad crítica de ejecución remota de código (RCE) que afecta a la biblioteca PHPUnit, ampliamente utilizada para pruebas automatizadas en PHP. Esta falla permite que un atacante ejecute comandos arbitrarios en el servidor si puede acceder a un archivo específico de PHPUnit expuesto públicamente.

📌 Detalles principales Identificador: CVE-2017-9841 GOOGLE DORK "inurl:"/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php" Producto afectado: PHPUnit (componente phpunit/phpunit)

Versiones vulnerables: anteriores a 5.6.3 y 4.8.28

Tipo de vulnerabilidad: Ejecución remota de código (RCE)

Impacto: Crítico – permite al atacante ejecutar código PHP arbitrario en el servidor.

🔍 Cómo funciona la vulnerabilidad El problema reside en el archivo eval-stdin.php, ubicado en:

text /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php (o en rutas similares, dependiendo de la estructura del proyecto).

Ese archivo fue diseñado para uso interno de PHPUnit, pero en muchas instalaciones permanece accesible públicamente. El código de ese archivo simplemente lee datos de la entrada estándar (php://input) y los ejecuta directamente con la función eval(). Es decir, cualquier solicitud POST enviada a ese endpoint será evaluada como código PHP.

Ejemplo de explotación Un atacante puede enviar una solicitud HTTP POST al archivo vulnerable que contenga, por ejemplo:

http POST /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php HTTP/1.1

Host: alvo.com

Content-Type: application/x-www-form-urlencoded

Payload 🛡️ " "

El servidor ejecutará el código y devolverá la salida, confirmando la ejecución.

Con esto, el atacante puede escalar el ataque para obtener una shell inversa, leer archivos sensibles, modificar datos, etc.

🛡️ Mitigación Actualizar PHPUnit a una versión corregida (≥ 5.6.3 o ≥ 4.8.28).

Eliminar o restringir el acceso al directorio vendor/phpunit/ en entornos de producción, ya que las bibliotecas de prueba no deben estar accesibles públicamente.

Configurar el servidor para bloquear solicitudes a archivos de prueba comunes, como eval-stdin.php.

Usar un firewall de aplicación (WAF) para detectar y bloquear intentos de explotación.

📚 Contexto adicional Esta vulnerabilidad se hizo muy conocida porque muchos proyectos, inadvertidamente, dejan el directorio vendor accesible al público. Como PHPUnit es una dependencia común en proyectos PHP (incluidos frameworks como Laravel, Symfony, etc.), la exposición accidental es frecuente. Por eso, es uno de los primeros vectores probados en escaneos automatizados de seguridad.

Si eres desarrollador o administrador de sistemas, verifica que tus sitios en producción no tengan el archivo eval-stdin.php accesible externamente.