KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan HPE Networking EdgeConnect SD-WAN Orchestrator untuk segera memperbarui perangkat lunaknya. Edaran ini memuat empat kerentanan pada API Orchestrator dengan skor CVSS 9,8 hingga 9,9 (Critical): bypass autentikasi, bypass otorisasi, dan pengungkapan informasi sensitif.
Ikhtisar
EdgeConnect SD-WAN Orchestrator adalah konsol pusat untuk mengatur jaringan SD-WAN (software-defined WAN), yaitu pengelolaan lalu lintas antarlokasi dari satu titik. Kompromi pada Orchestrator berarti kendali atas seluruh jaringan yang dikelolanya. Keempat CVE yang disebut edaran:
- CVE-2026-76669 (9,9) — kerentanan API yang memungkinkan pengguna terautentikasi berhak rendah menaikkan hak aksesnya menjadi administrator (privilege escalation).
- CVE-2026-76670 (9,9) — kerentanan API sejenis, juga berupa privilege escalation ke administrator.
- CVE-2026-76672 (9,9) — pengungkapan informasi sensitif melalui endpoint sinkronisasi cache; pengguna dengan hak baca saja dapat memperoleh token API dan kredensial pihak ketiga yang tersimpan.
- CVE-2026-76673 (9,8) — bypass autentikasi pada API oleh pihak jarak jauh tanpa akun (
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), berujung pada hak administrator dan kompromi penuh host Orchestrator.
Dampak
- Pengambilalihan Orchestrator oleh penyerang, termasuk perubahan kebijakan jaringan dan konfigurasi seluruh perangkat SD-WAN yang dikelolanya.
- Bocornya token API dan kredensial layanan pihak ketiga yang tersimpan di Orchestrator, yang berpotensi dipakai menjangkau platform keamanan lain (lateral movement).
- Pada CVE-2026-76673, serangan dapat dilancarkan dari jaringan tanpa akun apa pun.
- Kompromi pada sistem pengelola jaringan pusat berimbas ke ketersediaan dan kerahasiaan lalu lintas antarlokasi instansi.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| HPE Networking EdgeConnect SD-WAN Orchestrator, cabang 9.7 | 9.7.0 dan semua versi sebelumnya pada cabang ini | 9.7.1 atau lebih baru |
| HPE Networking EdgeConnect SD-WAN Orchestrator, cabang 9.6 | 9.6.0 hingga 9.6.3 | 9.6.4 atau lebih baru |
| HPE Networking EdgeConnect SD-WAN Orchestrator, cabang 9.5 | 9.5.0 hingga 9.5.8 | 9.5.9 atau lebih baru |
| HPE Networking EdgeConnect SD-WAN Orchestrator, cabang 9.4 | 9.4.0 hingga 9.4.10 | 9.4.11 atau lebih baru |
Rilis yang telah melewati masa pemeliharaan (end of maintenance) dianggap terdampak kecuali HPE menyatakan sebaliknya. HPE juga menyatakan versi Orchestrator harus sama dengan atau lebih tinggi daripada versi ECOS pada Gateway yang dikelolanya.
Rincian CVE
| CVE | Skor CVSS | Jenis | Ringkasan |
|---|---|---|---|
| CVE-2026-76669 | 9,9 (Critical) | Bypass otorisasi / privilege escalation | API Orchestrator: pengguna terautentikasi berhak rendah dapat menjadi administrator. |
| CVE-2026-76670 | 9,9 (Critical) | Bypass otorisasi / privilege escalation | API Orchestrator: pengguna terautentikasi berhak rendah dapat menjadi administrator. |
| CVE-2026-76672 | 9,9 (Critical) | Pengungkapan informasi sensitif | Endpoint sinkronisasi cache membuka token dan kredensial pihak ketiga bagi pengguna hak baca. |
| CVE-2026-76673 | 9,8 (Critical) | Bypass autentikasi | API Orchestrator: pihak jarak jauh tanpa akun dapat melewati kontrol autentikasi dan memperoleh hak administrator. |
Detail Teknis
Seluruh kerentanan berada pada lapisan API Orchestrator. Tiga di antaranya (CVE-2026-76669, -76670, dan -76672) memerlukan akun yang sudah terautentikasi, namun hak rendah atau hak baca sudah cukup; satu lainnya (CVE-2026-76673) tidak memerlukan akun. Skor tinggi pada tiga CVE pertama terutama disebabkan lingkup dampak yang meluas (S:C) ke komponen di luar Orchestrator. Rincian teknis yang lebih dalam tidak kami muat karena dapat langsung dimanfaatkan.
Rekomendasi
- Inventarisasi seluruh Orchestrator (fisik, virtual, maupun berbasis cloud) beserta versi dan cabang yang dipakai.
- Perbarui Orchestrator ke versi perbaikan pada cabangnya (9.7.1, 9.6.4, 9.5.9, atau 9.4.11) atau yang lebih baru, mengikuti buletin HPE HPESBNW05135.
- Bila ada rilis di luar masa pemeliharaan, rencanakan migrasi ke cabang yang masih didukung sebagai prioritas.
- Batasi antarmuka pengelolaan dan API hanya dari segmen jaringan pengelola yang tepercaya, dengan kebijakan firewall; jangan membukanya ke internet.
- Tinjau hak akses pengguna Orchestrator: berikan seminimal yang diperlukan dan hapus akun yang tidak lagi dipakai.
- Karena token dan kredensial pihak ketiga dapat terbaca melalui CVE-2026-76672, ganti token API dan kredensial yang tersimpan di Orchestrator setelah pembaruan, terutama bila ada indikasi akses tidak wajar.
- Pantau log sistem dan API secara berkala untuk mendeteksi anomali, seperti pembuatan akun administrator baru, perubahan peran, atau akses dari alamat yang tidak lazim.
- Laporkan indikasi penyusupan ke KUTIM-CSIRT melalui kanal pelaporan resmi.
Catatan Status Eksploitasi
Keempat CVE belum tercatat di katalog KEV CISA pada saat artikel ini diterbitkan, dan HPE menyatakan belum mengetahui adanya pembahasan publik maupun kode eksploitasi pada saat buletin dirilis. Dengan skor setinggi ini pada sistem pengelola jaringan pusat, instansi tetap disarankan memperbarui secepatnya.
Referensi
- BSSN/Id-SIRTII – Security Advisory: Kerentanan pada HPE Networking EdgeConnect SD-WAN Orchestrator (edaran sumber)
- HPE Security Bulletin HPESBNW05135
- NVD – CVE-2026-76669
- NVD – CVE-2026-76670
- NVD – CVE-2026-76672
- NVD – CVE-2026-76673
- Secure ISS – HPE Networking EdgeConnect SD-WAN Critical Vulnerabilities