KUTIM-CSIRT mengimbau Perangkat Daerah dan pengembang aplikasi di lingkungan Pemerintah Kabupaten Kutai Timur yang membangun sistem di atas ekosistem Spring untuk segera menindaklanjuti sembilan kerentanan yang direkapitulasi dalam edaran BSSN. Dua di antaranya berkategori Critical, dengan skor tertinggi 9,6 pada CVE-2026-59354.

Spring adalah salah satu ekosistem pengembangan aplikasi berbasis Java yang paling luas dipakai untuk membangun layanan web, sistem perusahaan, dan aplikasi berbasis cloud. Di lingkungan pemerintahan, Spring lazim menjadi fondasi aplikasi kepegawaian, keuangan, dan perizinan. Yang membuat rekapitulasi ini penting bukan hanya jumlah CVE-nya, melainkan di mana letaknya: sebagian besar berada pada komponen yang justru bertugas menegakkan keamanan — Spring Security dan Spring Authorization Server.

Ikhtisar

Ekosistem Spring mencakup sejumlah komponen, antara lain Spring Framework, Spring Security, Spring Authorization Server, Spring AI, dan Spring Cloud, yang mendukung fungsi autentikasi dan otorisasi, integrasi OAuth2, pengelolaan konfigurasi, pemrosesan data, serta pengembangan aplikasi web dan layanan terdistribusi.

Luasnya penggunaan Spring menjadikan kerentanan pada komponen tersebut berpotensi dimanfaatkan pelaku ancaman untuk memperoleh akses tidak sah, menjalankan kode dari jarak jauh (Remote Code Execution), melakukan Server-Side Request Forgery (SSRF), mengakses atau mengubah data LDAP, memanipulasi proses registrasi maupun persetujuan klien OAuth2, melakukan Cross-Site Scripting (XSS), mengubah konfigurasi aplikasi melalui endpoint yang tidak dibatasi secara memadai, mengganggu aliran data Server-Sent Events (SSE), serta menyebabkan penggunaan sumber daya sistem secara berlebihan.

Rincian Kerentanan

Tanda – pada kolom skor berarti nilai CVSS belum dicantumkan dalam dokumen rekapitulasi BSSN. Tingkat keparahan tetap mengikuti klasifikasi yang tertera pada dokumen tersebut.

Detail Teknis

CVE-2026-59270 (CVSS 9,4, CWE-863) berakar pada UnboundID LDAP server yang tertanam di Spring Security (UnboundIdContainer). Komponen tersebut mendaftarkan kredensial administratif tanpa syarat dan mengikat listener-nya ke seluruh antarmuka jaringan yang tersedia. Dua keputusan desain itu bergabung menjadi celah serius: layanan yang semestinya hanya melayani pengujian lokal justru terbuka ke jaringan lengkap dengan kredensial administratif yang dapat ditebak.

CVE-2026-59354 (CVSS 9,6, CWE-20) — skor tertinggi dalam rekapitulasi ini — terletak pada modul OAuth2 Authorization Server versi 7.0.0 hingga 7.0.4. Ketika Dynamic Client Registration diaktifkan secara eksplisit, endpoint registrasi melakukan validasi yang tidak memadai terhadap sejumlah field metadata klien yang dikirim pihak pendaftar. Perhatikan prasyaratnya: fitur Dynamic Client Registration harus diaktifkan secara sengaja dan tidak aktif secara bawaan. Aplikasi yang tidak mengaktifkannya tidak terdampak oleh celah ini — namun tetap perlu memutakhirkan komponen karena celah lain dalam daftar ini.

Pola yang perlu dicermati dari keseluruhan rekapitulasi: enam dari sembilan kerentanan berada pada komponen yang menangani autentikasi, otorisasi, atau konfigurasi — yakni Spring Security, Spring Authorization Server, Spring Cloud Config Server, dan Spring Cloud Commons. Kelemahan pada lapisan ini tidak memberi penyerang satu pintu masuk, melainkan melumpuhkan penjaga pintunya.

Rekomendasi

1. Segera perbarui seluruh komponen Spring ke versi yang telah diperbaiki atau versi terbaru dari produk yang digunakan, terutama Spring Security, Spring Framework, Spring Authorization Server, Spring Cloud Config, dan Spring Cloud Commons.
2. Batasi akses terhadap layanan dan endpoint sensitif — seperti LDAP, OAuth2, serta Spring Actuator — hanya kepada pengguna atau jaringan yang berwenang. Spring Actuator tidak boleh terpapar ke internet dalam keadaan apa pun.
3. Terapkan validasi dan sanitasi terhadap seluruh input yang berasal dari pengguna atau sumber tidak tepercaya, khususnya pada metadata OAuth2, view, XML, dan data yang diproses melalui Server-Sent Events (SSE).
4. Nonaktifkan Dynamic Client Registration pada Authorization Server bila fitur tersebut tidak benar-benar dibutuhkan.
5. Lakukan inventarisasi dependensi secara menyeluruh. Komponen Spring kerap ikut terbawa secara transitif melalui Spring Boot, sehingga versi rentan dapat hadir tanpa pernah dideklarasikan langsung di berkas build. Gunakan mvn dependency:tree atau gradle dependencies untuk memastikannya.
6. Terapkan prinsip least privilege dan segmentasi jaringan untuk membatasi hak akses aplikasi serta mengurangi dampak apabila terjadi eksploitasi.
7. Lakukan pemantauan log dan aktivitas sistem secara berkala untuk mendeteksi akses tidak sah, perubahan konfigurasi, penggunaan sumber daya yang tidak normal, atau indikasi eksploitasi lainnya.

Referensi

• BSSN/Id-SIRTII – Security Advisory: Rekapitulasi Kerentanan pada Spring (edaran sumber)
• Spring – Security Advisories Resmi
• NVD – CVE-2026-59354 (skor tertinggi)
• NVD – CVE-2026-59270

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi di halaman Lapor Insiden. Penanganan dini menekan dampak secara signifikan.