KUTIM-CSIRT meneruskan rekapitulasi 66 kerentanan pada paket Python openssl_encrypt yang teridentifikasi pada periode 17 sampai 27 Agustus 2026. Komposisinya: 32 kerentanan Critical, 27 High, dan 7 Medium.

Paket openssl_encrypt menyediakan fungsi enkripsi berkas, pengelolaan kunci, serta dukungan kriptografi pasca-kuantum bagi aplikasi Python. Karena perannya menangani data yang justru dimaksudkan untuk dilindungi, kerentanan pada paket semacam ini berdampak langsung pada kerahasiaan dan integritas data yang dienkripsi dengannya.

Ikhtisar

Kerentanan yang terekap berasal dari beberapa kelas kelemahan yang berbeda. Contoh yang telah kami verifikasi ke NVD memberikan gambaran ragamnya:

• CVE-2026-74901 (Critical) — authentication bypass pada pqc.py: kegagalan dekripsi AES-GCM memicu fallback ke mode AES-CTR yang tidak terautentikasi, sehingga penyerang dapat memodifikasi data terenkripsi tanpa terdeteksi (CWE-347, kegagalan verifikasi tanda tangan kriptografis).
• CVE-2026-81719 (Critical) — eksekusi plugin pihak ketiga dengan kendali yang tidak memadai: kebijakan tanda tangan plugin secara bawaan hanya berstatus WARN, sehingga plugin tak bertanda tangan tetap dijalankan (CWE-94, code injection).
• CVE-2026-81707 (Critical) — kolom email pada dokumen identitas yang diimpor tidak disanitasi, memungkinkan penyisipan ANSI escape sequence untuk memalsukan baris verifikasi fingerprint yang ditampilkan ke pengguna (CWE-20, validasi masukan yang tidak memadai).
• CVE-2026-74870 (High) — perintah diagnostik hsm fido2-test dan hsm onlykey-test mencetak kunci turunan perangkat keras secara utuh ke keluaran (CWE-532, kebocoran informasi melalui log).

Secara umum, dampak yang mungkin timbul mencakup eksekusi kode jarak jauh, penolakan layanan (denial-of-service), kebocoran informasi sensitif, serta pelewatan mekanisme keamanan — bergantung pada karakteristik masing-masing kerentanan.

Sistem yang Terdampak

Seluruh kerentanan tertutup dengan memperbarui ke versi 1.4.9 atau lebih baru, karena 1.4.9 merupakan versi perbaikan tertinggi di antara keseluruhan daftar.

Rincian 66 Kerentanan

Skor dan tingkat keparahan pada tabel di atas dikutip apa adanya dari lampiran edaran BSSN. Sebagian CVE memiliki skor berbeda di NVD karena perbedaan versi metrik CVSS yang digunakan (CVSS 3.1 dibandingkan CVSS 4.0) — ini bukan pertentangan data, melainkan dua cara pengukuran yang berdampingan. Tautan pada setiap nomor CVE mengarah ke catatan resmi NVD.

Detail Teknis

Sebaran kerentanan terbagi menjadi dua kelompok besar yang bercerita banyak tentang riwayat paket ini. Kelompok pertama, 28 kerentanan yang diperbaiki pada versi 1.4.0, sebagian besar berskor 9,8 dan tampaknya merupakan hasil audit menyeluruh terhadap versi-versi awal paket. Kelompok kedua, 28 kerentanan yang diperbaiki pada versi 1.4.9, teridentifikasi pada akhir Agustus 2026.

Pola ini lazim terjadi pada perangkat lunak sumber terbuka berskala kecil: ketika sebuah paket mulai menarik perhatian peneliti keamanan, sejumlah besar kerentanan terungkap sekaligus dalam waktu singkat. Jumlah CVE yang banyak dalam hal ini justru menandakan paket tersebut sedang diperiksa dengan serius — bukan semata-mata bahwa paket itu lebih buruk daripada yang belum pernah diaudit sama sekali.

Pelajaran yang lebih luas bagi Perangkat Daerah adalah soal rantai pasok perangkat lunak. Sebuah paket kriptografi pihak ketiga yang dipasang lewat satu baris perintah dapat membawa risiko yang jauh melampaui fungsinya. Untuk kebutuhan enkripsi pada aplikasi dinas, pustaka kriptografi yang mapan dan diaudit luas — misalnya cryptography pada ekosistem Python — merupakan pilihan yang jauh lebih aman daripada paket kecil dengan pemelihara tunggal.

Rekomendasi

1. Pastikan lebih dahulu apakah paket ini benar-benar Anda gunakan. Jalankan pip show openssl_encrypt atau pip list | grep -i openssl pada setiap lingkungan Python dinas. Bila tidak terpasang, advisory ini tidak berdampak pada sistem Anda dan tidak ada tindakan yang perlu dilakukan.
2. Bila terpasang, perbarui ke versi 1.4.9 atau lebih baru — versi ini menutup seluruh 66 kerentanan yang terekap.
3. Periksa juga berkas requirements.txt, pyproject.toml, dan lockfile pada seluruh proyek, termasuk dependensi transitif yang mungkin membawanya secara tidak langsung.
4. Anggap data yang pernah dienkripsi dengan versi rentan sebagai berpotensi tidak terlindungi. Mengingat CVE-2026-74901 menyangkut fallback ke mode tanpa autentikasi, integritas berkas yang dienkripsi memakai versi lama tidak dapat dijamin. Lakukan enkripsi ulang dengan versi yang telah diperbaiki.
5. Rotasi kunci yang pernah diproses oleh perintah diagnostik hsm fido2-test atau hsm onlykey-test, karena kunci tersebut dapat tercetak utuh ke log.
6. Lakukan inventarisasi menyeluruh terhadap komponen kriptografi yang digunakan aplikasi dinas — terutama pada sistem yang melayani publik atau menangani informasi sensitif.
7. Terapkan security hardening pada konfigurasi TLS/SSL secara umum: nonaktifkan protokol dan cipher suite yang sudah tidak direkomendasikan, serta pastikan konfigurasi kriptografi sesuai praktik terbaik dan ketentuan Algoritma Kriptografi Indonesia (AKI) yang ditetapkan BSSN. Butir ini merupakan imbauan umum dari edaran, terlepas dari penggunaan paket openssl_encrypt.
8. Sertakan pemindaian dependensi (software composition analysis) ke dalam alur pengembangan agar kerentanan pada pustaka pihak ketiga terdeteksi lebih awal.

Referensi

• BSSN/Id-SIRTII – Security Advisory Rekapitulasi Kerentanan pada OpenSSL Encrypt (edaran sumber)
• NVD – CVE-2026-74901 (contoh, memuat penanda CPE produk)
• OpenCVE – Daftar kerentanan produk openssl_encrypt
• MITRE CWE-347 – Improper Verification of Cryptographic Signature
• MITRE CWE-532 – Insertion of Sensitive Information into Log File