CVE-2017-9841 - Удаленное выполнение кода (RCE) в PHPUnit

Эта уязвимость затрагивает версии PHPUnit до 4.8.28, а также все версии 5.x до 5.6.3. Она позволяет злоумышленникам выполнять произвольный PHP-код на серверах, где PHPUnit доступен извне. Проблема заключается в файле eval-stdin.php, расположенном в каталоге Util/PHP библиотеки PHPUnit. Когда этот файл доступен (как правило, при открытом доступе к папке /vendor), злоумышленники могут отправлять вредоносные HTTP POST-запросы, содержащие PHP-код, начинающийся с <?php , и выполнять произвольные команды на сервере.

Воздействие

• Удаленное выполнение кода на уязвимых серверах
• Полная компрометация сервера, если PHPUnit доступен извне
• Особенно опасно, когда каталоги /vendor находятся в открытом доступе

Затронутые версии

• PHPUnit 4.x до 4.8.28
• PHPUnit 5.x до 5.6.3

Решение

• Обновите PHPUnit до версии 4.8.28 или 5.6.3 (или более поздней)
• Убедитесь, что каталоги /vendor не находятся в открытом доступе
• Удалите или ограничьте доступ к eval-stdin.php, если немедленное обновление невозможно

Ссылки