Kerentanan Keamanan Yang Dituduhkan Kepada PostgreSQL Bukanlah Kerentanan


Kerentanan Keamanan Yang Dituduhkan Kepada PostgreSQL Bukanlah Kerentanan

Seorang blogger keamanan cyber dari Greenwolf Security bernama Jacob Wilkin mengungkapkan sesuatu yang dianggapnya sebagai sebuah kerentanan keamanan pada salah satu fitur di software database open source PostgreSQL. Dugaan kerentanan keamanan tersebut dilaporkan dan mendapatkan nomor CVE-2019-9193 dalam daftar database kerentanan Common Vulnerabilities & Exposure (CVE) pada National Vulnerability Database (NVD) milik pemerintah A.S. Posting-an tersebut menjadi viral dan tersebar luar di media dan kalangan industri.

Namun, PostgreSQL Security Team menyangkalnya sebagai sebuah kerentanan keamanan. PostgreSQL Security Team meyakini bahwa registrasi kerentanan keamanan yang terdaftar dalam sistem Common Vulnerabilities & Exposures (CVE) dengan nomor CVE-2019-9193 merupakan sebuah kekeliruan. Hal tersebut berpotensi memengaruhi distro PostgreSQL lainnya. PostgreSQL Security Team telah menghubungi pelapor untuk menginvestigasi masalah tersebut.

Pada registrasi CVE-2019-9193 disebutkan bahwa fitur “COPY TO/FROM PROGRAM” yang tersedia pada PostgreSQL 9.3 hingga 11.2 memungkinkan ‘superuser’ database di dalam grup ‘pg_read_server_files’ bisa mengeksekusi perintah sistem operasi. Disebutkan pula bahwa fitur tersebut telah diaktifkan secara default dan bisa disalahgunakan untuk menjalankan perintah sistem operasi di Windows, Linux, dan macOS.

“Padahal yang terjadi adalah fitur yang dipermasalahkan tersebut hanya menjalankan fungsi sebagai mestinya, tidak ada kerentanan,” ungkap Julyanto Sutandang, CEO PT. Equnix Business Solutions. Ia menambahkan bahwa apa yang diklaim sebagai “kerentanan” tersebut mirip seperti saat login sebagai superuser atau root pada sistem Unix, Anda bisa mengedit dan membuat file serta menjalankan perintah sebagai root.

Fitur “COPY TO/FROM PROGRAM” tersebut secara jelas menyatakan hanya bisa dieksekusi oleh pengguna database yang telah mendapatkan peran sebagai ‘superuser’ atau peran default ‘pg_execute_server_program’. Fitur tersebut memang dirancang untuk mengijinkan ‘superuser’ atau ‘pg-execute_server_program’ untuk bertindak sebagai pengguna sistem operasi di mana server PostgreSQL berjalan yang pada umumnya sebagai pengguna “postgres”. Peran default pada ‘pg_read_server_files’ dan ‘pg_write_server_files’ yang disebutkan didalam registrasi CVE tidak mengijinkan pengguna database untuk menggunakan fitur “COPY TO/FROM PROGRAM”.

Secara desain, tidak ada batasan keamanan antara ‘superuser database dengan ‘user sistem operasi di mana PostgreSQL dijalankan. Dengan demikian, server PostgreSQL tidak diijinkan untuk dijalankan sebagai ‘superuserdari sistem operasi (“root”). Fitur “COPY TO/FROM PROGRAM” ditambahkan dalam PostgreSQL 9.3 tidak mengubah apapun yang disebutkan di atas, tetapi menambahkan perintah baru dalam lingkup keamanan yang telah tersedia sebelumnya. 

PostgreSQL Security Team mengingatkan semua pengguna PostgreSQL untuk mengikuti praktik terbaik, yaitu tidak pernah memberikan hak akses ‘superuser untuk akses secara jarak jauh, atau kepada pihak tidak dikenal. Hal tersebut merupakan prosedur operasional standar keamanan yang seharusnya dilaksanakan dan diikuti dalam administrasi sistem, termasuk pula pada administrasi database.

Menyadari telah melakukan kekeliruan, Jacob Wilkin memperbarui posting-an blog-nya dengan memberikan catatan pembaruan di akhir tulisan bahwa blog yang ia posting berisi kesalahan dan mengakui bahwa hanya pengguna dalam grup ‘pg_execute_server_program’ yang bisa melakukan serangan, bukan pengguna dalam grup ‘pg_read_server_files’ seperti yang tertulis pada posting blog-nya.

Pada posting-an blog lainnya, Jacob Wilkin menyatakan telah melayangkan permohonan penarikan CVE-2019-9193. Setelah melakukan diskusi dengan komunitas PostgreSQL, ia meyakini fitur yang disebutkan pada CVE-2019-9193 tersebut bukanlah kerentanan atau rongga (bug) keamanan di dalam software database open source tersebut. Namun ia juga tetap meyakini bahwa fitur “COPY TO/FROM PROGRAM” menambahkan risiko di banyak lingkungan PostgreSQL sehingga ia tidak mengubah isi tulisan blog.

Semua Kategori Berita

Berita 12 Bulan Terakhir