CVE-2017-9841 - Esecuzione Remota di Codice (RCE) di PHPUnit

Questa vulnerabilità interessa le versioni di PHPUnit precedenti alla 4.8.28 e tutte le versioni 5.x precedenti alla 5.6.3. Consente agli attaccanti di eseguire codice PHP arbitrario sui server in cui PHPUnit è esposto. Il problema risiede nel file eval-stdin.php situato nella directory Util/PHP di PHPUnit. Quando questo file è accessibile (tipicamente quando la cartella /vendor è esposta), gli attaccanti possono inviare richieste HTTP POST malevole contenenti codice PHP che inizia con <?php per eseguire comandi arbitrari sul server.

Impatto

• Esecuzione remota di codice su server vulnerabili
• Compromissione totale del server se PHPUnit è esposto
• Particolarmente pericoloso quando le directory /vendor sono pubblicamente accessibili

Versioni Affette

• PHPUnit 4.x precedenti alla 4.8.28
• PHPUnit 5.x precedenti alla 5.6.3

Soluzione

• Aggiornare PHPUnit alla versione 4.8.28 o 5.6.3 (o successiva)
• Assicurarsi che le directory /vendor non siano pubblicamente accessibili
• Rimuovere o limitare l'accesso a eval-stdin.php se l'aggiornamento non è immediatamente possibile

Riferimenti

• CVE-2017-9841