CVE-2017-9841 - Exécution de code à distance (RCE) dans PHPUnit

Cette vulnérabilité affecte les versions de PHPUnit antérieures à 4.8.28 et toutes les versions 5.x antérieures à 5.6.3. Elle permet à un attaquant d'exécuter du code PHP arbitraire sur les serveurs où PHPUnit est exposé. Le problème réside dans le fichier eval-stdin.php situé dans le répertoire Util/PHP de PHPUnit. Lorsque ce fichier est accessible (généralement lorsque le dossier /vendor est exposé), les attaquants peuvent envoyer des requêtes HTTP POST malveillantes contenant du code PHP commençant par <?php pour exécuter des commandes arbitraires sur le serveur.

Impact

• Exécution de code à distance sur les serveurs vulnérables
• Compromission totale du serveur si PHPUnit est exposé
• Particulièrement dangereux lorsque les répertoires /vendor sont accessibles publiquement

Versions affectées

• PHPUnit 4.x avant 4.8.28
• PHPUnit 5.x avant 5.6.3

Solution

• Mettre à niveau PHPUnit vers la version 4.8.28 ou 5.6.3 (ou ultérieure)
• S'assurer que les répertoires /vendor ne sont pas accessibles publiquement
• Supprimer ou restreindre l'accès à eval-stdin.php si la mise à niveau n'est pas immédiatement possible

Références

• CVE-2017-9841