KUTIM-CSIRT mengimbau Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan platform Wazuh untuk segera menindaklanjuti lima kerentanan yang direkapitulasi dalam edaran BSSN. Kerentanan terberat, CVE-2026-61800, memperoleh skor CVSS 9,1 (Critical).

Wazuh adalah platform open source untuk pemantauan keamanan, deteksi ancaman, manajemen log, serta perlindungan endpoint dan cloud. Ada ironi yang perlu disadari di sini: Wazuh justru merupakan perkakas yang dipakai untuk mengawasi keamanan sistem lain. Ia memegang log dari seluruh endpoint, menyimpan kredensial pemantauan, dan pada banyak organisasi berjalan dengan hak akses tinggi di seluruh penjuru jaringan. Kompromi pada Wazuh berarti penyerang tidak hanya memperoleh pijakan, melainkan juga merebut mata dan telinga tim keamanan itu sendiri — sekaligus memperoleh peta rinci seluruh infrastruktur yang dipantau.

Ikhtisar

Wazuh tersusun atas beberapa komponen yang saling terintegrasi: Wazuh Manager, Wazuh Agent, mekanisme Active Response, serta fitur cluster untuk sinkronisasi data dan konfigurasi. Kelima kerentanan dalam rekapitulasi ini tersebar pada komponen-komponen tersebut, dengan ragam kelemahan sebagai berikut:

• Path Traversal — memungkinkan modifikasi data secara tidak sah.
• NULL Pointer Dereference — dapat menyebabkan Denial of Service.
• Argument Injection pada skrip Active Response.
• Kelemahan kontrol akses yang dapat mengekspos informasi sensitif.
• Kelemahan mekanisme sinkronisasi cluster yang memungkinkan arbitrary file upload dan berpotensi berujung Remote Code Execution dengan hak akses root.

Rincian Kerentanan

Seluruh rentang terdampak pada jalur 4.x berakhir di versi 4.14.6. Instalasi yang sudah berjalan pada versi 4.14.7 atau lebih baru berada di luar rentang tersebut. Untuk jalur pengembangan 5.0.0 (pra-rilis), gunakan rilis terbaru yang tersedia.

Detail Teknis

Kerentanan terberat, CVE-2026-61800 (CWE-22, Path Traversal, CVSS 9,1), terletak pada mekanisme sinkronisasi cluster. Pihak yang menguasai cluster key dapat menulis, menimpa, atau menghapus berkas sembarang di bawah direktori /var/ossec pada simpul worker. Karena direktori tersebut memuat skrip yang dieksekusi oleh layanan Wazuh dengan hak root, kemampuan menulis berkas sembarang di sana setara dengan kemampuan menjalankan kode.

Perhatikan vektornya, CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H. Nilai PR:H berarti eksploitasi menuntut hak akses tinggi, yakni penguasaan cluster key. Ini menurunkan kemungkinan penyerang luar langsung memanfaatkannya — namun sekaligus menegaskan pentingnya perlakuan terhadap cluster key sebagai rahasia tingkat tertinggi. Nilai S:C menunjukkan dampaknya melintasi batas wewenang keamanan komponen.

Kerentanan Argument Injection pada skrip Active Response patut mendapat perhatian tersendiri. Active Response adalah fitur yang memungkinkan Wazuh mengambil tindakan otomatis ketika mendeteksi ancaman — misalnya memblokir alamat IP. Fitur ini secara desain memang dirancang untuk mengeksekusi perintah pada sistem yang dipantau, sehingga celah pada jalur tersebut memberi penyerang saluran eksekusi yang sudah tersedia secara sah.

Rekomendasi

1. Segera perbarui Wazuh ke versi yang telah diperbaiki atau versi terbaru yang telah dirilis. Perbarui Manager terlebih dahulu, kemudian Agent, sesuai urutan yang dianjurkan vendor.
2. Batasi akses terhadap Wazuh Manager dan layanan cluster hanya kepada pengguna atau jaringan yang berwenang. Antarmuka cluster tidak boleh dapat dijangkau dari jaringan umum.
3. Tinjau dan perketat konfigurasi RBAC, terutama hak akses terhadap fungsi konfigurasi Manager dan cluster.
4. Perlakukan cluster key sebagai rahasia bernilai tertinggi: putar ulang secara berkala, jangan pernah menyimpannya di dalam repositori kode, dan batasi siapa saja yang dapat membacanya.
5. Tinjau seluruh skrip Active Response khusus (custom) yang dibuat sendiri, karena skrip semacam ini kerap luput dari pemutakhiran paket.
6. Terapkan prinsip least privilege dan segmentasi jaringan untuk membatasi hak akses aplikasi serta mengurangi dampak apabila terjadi eksploitasi.
7. Lakukan pemantauan log dan aktivitas sistem secara berkala untuk mendeteksi akses tidak sah, perubahan konfigurasi, penggunaan sumber daya yang tidak normal, atau indikasi eksploitasi lainnya — termasuk perubahan berkas di bawah /var/ossec yang tidak berasal dari proses pemutakhiran resmi.

Referensi

• BSSN/Id-SIRTII – Security Advisory: Rekapitulasi Kerentanan pada Wazuh (edaran sumber)
• NVD – Hasil pencarian kerentanan Wazuh
• Wazuh – GitHub Security Advisories
• Wazuh – Panduan Pemutakhiran Resmi

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi di halaman Lapor Insiden. Penanganan dini menekan dampak secara signifikan.