CVE-2017-9841 - Execução Remota de Código (RCE) no PHPUnit

Esta vulnerabilidade afeta as versões do PHPUnit anteriores a 4.8.28 e todas as versões 5.x anteriores a 5.6.3. Ela permite que atacantes executem código PHP arbitrário em servidores onde o PHPUnit está exposto. O problema existe no arquivo eval-stdin.php localizado no diretório Util/PHP do PHPUnit. Quando este arquivo está acessível (tipicamente quando a pasta /vendor está exposta), atacantes podem enviar requisições HTTP POST maliciosas contendo código PHP começando com <?php para executar comandos arbitrários no servidor.

Impacto

• Execução remota de código em servidores vulneráveis
• Comprometimento total do servidor se o PHPUnit estiver exposto
• Particularmente perigoso quando os diretórios /vendor estão acessíveis publicamente

Versões Afetadas

• PHPUnit 4.x anteriores a 4.8.28
• PHPUnit 5.x anteriores a 5.6.3

Solução

• Atualize o PHPUnit para a versão 4.8.28 ou 5.6.3 (ou superior)
• Garanta que os diretórios /vendor não estejam acessíveis publicamente
• Remova ou restrinja o acesso ao eval-stdin.php se a atualização não for possível imediatamente

Referências

• CVE-2017-9841