Qualys bersama dengan komunitas keamanan yang merilis Proof of Concept (PoC) telah menemukan sebuah kerentanan serius pada pustaka pemrograman OpenSMTPD, sebuah komponen penting yang digunakan oleh berbagai sistem mail server berbasis UNIX dan BSD. Kerentanan ini memungkinkan penyerang untuk melakukan eksekusi kode dari jarak jauh (remote code execution) serta melakukan eskalasi hak akses secara lokal (local privilege escalation). Kerentanan ini menimbulkan risiko besar karena OpenSMTPD digunakan secara luas dalam sistem surat elektronik yang berjalan di banyak lingkungan produksi.
Kerentanan tersebut telah diidentifikasi dengan kode CVE-2020-7247. Menurut penilaian sementara dari sistem Common Vulnerability Scoring System (CVSS) versi 3.1, kerentanan ini memiliki nilai base score 9,1, yang menunjukkan tingkat keparahan kritikal. Vektor serangannya yaitu CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, menunjukkan bahwa kerentanan dapat dieksploitasi dari jarak jauh, tanpa autentikasi, dan tanpa interaksi pengguna.
“Cukup kirim satu email berisi kode jahat, server mail berbasis OpenSMTPD yang belum di-update bisa langsung diambil alih. Segera patch sebelum sistem Anda jadi korban berikutnya.”
Eksploitasi dari CVE-2020-7247 memungkinkan penyerang untuk mengirim email yang dirancang khusus guna menjalankan perintah pada sistem target. Dalam skenario tertentu, penyerang juga dapat memanfaatkan kerentanan untuk mendapatkan hak akses lebih tinggi, membuka potensi akses penuh ke sistem. Hal ini tentu membahayakan integritas dan kerahasiaan data, terlebih pada sistem yang mengandalkan layanan email sebagai jalur komunikasi internal organisasi.
Kerentanan ini juga sangat mudah disalahgunakan karena akses awal tidak diperlukan. Penyerang hanya perlu mengetahui alamat IP atau nama domain dari mail server yang menjalankan OpenSMTPD yang belum diperbarui. Oleh karena itu, sistem-sistem yang masih menggunakan versi lama dari pustaka OpenSMTPD sangat rentan dan menjadi target potensial dari eksploitasi yang dilakukan secara otomatis atau manual.
Sebagai tanggapan atas temuan ini, pengguna dan administrator sistem yang menggunakan OpenSMTPD sangat dianjurkan untuk segera melakukan tindakan mitigasi dan remediasi, seperti menginstal pembaruan versi yang telah diperbaiki, membatasi akses jaringan ke server mail, serta memantau log sistem untuk mendeteksi aktivitas mencurigakan. Langkah cepat ini penting untuk mencegah potensi kompromi lebih lanjut terhadap sistem yang terdampak.
Informasi lengkap mengenai Imbauan Keamanan Kerentanan Library OpenSMTPD (CVE-2020-7247) dapat diunduh di sini.
Bagian Komunikasi Publik, Biro Hukum dan Humas – BSSN
