Pengantar Insiden
Pada awal bulan September, sekelompok penyerang memanfaatkan kerentanan kritis pada aplikasi Collabora Online – Built‑in CODE Server yang optional di Nextcloud. Kerentanan ini memungkinkan mereka menanamkan web shell di server Nextcloud, memberikan kontrol penuh atas sistem. Tiga administrator melaporkan masalah ini melalui GitHub, dan serangan pertama tercatat pada tanggal 10 September.
Detail Teknis Ancaman
Collabora CODE Server menyediakan lingkungan kolaborasi berbasis web yang terintegrasi dengan Nextcloud. Kerentanan muncul akibat kurangnya validasi input pada endpoint upload file. Penyerang dapat mengirimkan file berisi skrip PHP yang disembunyikan di dalam payload, yang kemudian dieksekusi oleh server web dengan hak akses akun web. Web shell ini berfungsi sebagai pintu masuk bagi penyerang, memungkinkan mereka menjalankan perintah apa pun melalui permintaan HTTP.
Proses eksploitasi biasanya dimulai dengan mengunggah file berisi kode shell melalui antarmuka web Nextcloud. Setelah file berhasil diunggah, penyerang mengaksesnya melalui URL yang dapat diubah, sehingga skrip dieksekusi. Karena tidak ada mekanisme whitelist file atau sandboxing, skrip tersebut dapat mengakses sistem file, database, dan layanan lain yang berjalan di server.
Dampak Ancaman
Web shell yang terpasang memberi penyerang hak akses root (atau setidaknya hak akses akun web) atas server. Dampaknya meliputi:
- Eksfiltrasi data sensitif pengguna dan konfigurasi Nextcloud.
- Pivot internal ke sistem lain dalam jaringan.
- Penggunaan server sebagai platform untuk serangan lanjutan (misalnya, ransomware, DDoS).
- Kerusakan reputasi bagi organisasi yang menggunakan Nextcloud.
Serangan pertama yang dilaporkan pada 10 September menunjukkan bahwa penyerang telah memanfaatkan kerentanan ini sejak minimal satu bulan sebelum publikasi patch.
Rekomendasi Mitigasi dan Langkah Keamanan
Untuk mengurangi risiko, organisasi disarankan melakukan langkah-langkah berikut secara segera:
- Perbarui Aplikasi: Segera upgrade Collabora CODE Server ke versi terbaru yang telah memperbaiki kerentanan. Jika tidak menggunakan aplikasi ini, matikan atau hapus instalasinya.
- Audit dan Monitoring: Periksa log Nextcloud dan web server untuk tanda-tanda unggahan file tidak sah atau aktivitas mencurigakan. Gunakan file integrity monitoring (FIM) untuk mendeteksi perubahan file.
- Kontrol Upload File: Terapkan kebijakan whitelist file dan batasan ukuran upload. Gunakan modul keamanan web (mod_security) untuk memblokir payload berbahaya.
- Segregasi Hak Akses: Pastikan akun web memiliki hak terbatas dan tidak dapat menulis ke direktori sistem penting.
- Patch Management: Terapkan kebijakan patch management yang ketat, termasuk penilaian kerentanan berkala dan deployment patch otomatis.
- Pelatihan dan Kesadaran: Edukasikan administrator dan pengguna tentang risiko web shell serta praktik keamanan terbaik saat mengunggah file.
Dengan mengikuti rekomendasi di atas, organisasi dapat meminimalkan potensi serangan, melindungi data pengguna, dan menjaga integritas infrastruktur Nextcloud.
Sumber Referensi: Artikel ini disadur secara otomatis dari publikasi asli. Untuk membaca selengkapnya, silakan kunjungi Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App.