TEMPO.CO, Jakarta - Sebuah celah keamanan telah ditemukan menganga karena bug dalam software Log4j. Ini adalah perangkat lunak yang amat populer karena digunakan jutaan server web. Celah itu rentan serangan, dan banyak tim di dunia sedang berusaha menutupi sistem yang bisa terdampak sebelum para hacker jahat mampu mengeksploitasinya.

“Dunia internet saat ini sedang heboh,” kata Adam Meyers dari perusahaan keamanan siber Crowdstrike.

Permasalahan dengan Log4j pertama disadari dalam video game Minecraft, dan dengan cepat disadari pula kalau dampaknya jauh lebih luas. Software ini digunakan dalam jutaan aplikasi web, termasuk oleh iCloud Apple. Menurut catatan Crowdstrike, beberapa serangan yang sudah mulai mengeksploitasi bug ini dikenal sebagai serangan Log4Shell, “Dan telah terjadi sejak 9 Desember lalu.”

Direktur Badan Keamanan Infrastruktur dan Keamanan Siber Amerika Serikat, Jen Easterly, mengatakan lubang keamanan itu memunculkan ‘risiko parah’ ke internet. “Kerentanan ini, yang sedang dieksploitasi secara luas oleh aktor-aktor tertentu yang sedang menciptakan ancaman, menunjukkan tantangan yang sangat mendesak bagi para pembela jaringan internet yang penggunaannya sudah sangat luas ini,” kata Easterly.

Berikut ini beberapa poin penjelasan tentang ancaman yang sedang terjadi tersebut, dikutip dari NEW SCIENTIST Senin 13 Desember 2021,

Apa itu Log4j?

Hampir semua jenis software yang digunakan akan menyimpan catatan setiap error dan catatan penting lainnya yang dikenal sebagai log. Nah, ketimbang menciptakan sistem logging-nya sendiri, banyak pengembang software menggunakan sumber terbuka (open source) Log4j, yang membuat sistem itu menjadi satu di antara paket logging paling banyak digunakan di dunia.

Popularitas software Log4j itulah yang kini berbalik membuat pening kepala para ahli keamanan siber global. Celah keamanannya yang terkuak berdampak kepada jutaan keping software yang sedang dijalankan pada jutaan mesin, yang kita semua sedang berinteraksi dengannya.

Peluang apa yang diberikan kepada para hacker dari celah keamanan yang terbuka itu?

<!--more-->

Peluang apa yang diberikan kepada para hacker dari celah keamanan yang terbuka itu?

Para penyerang bisa menyiasati software Log4j menjadi menjalankan kode jahat dengan cara memaksanya menyimpan sebuah log entry yang mencakup di dalamnya serangkaian teks. Cara hacker melakukannya beragam dari program ke program. Dalam kasus yang ditemukan di Minecraft, caranya adalah melalui chat box. Sebuah log entry diciptakan untuk mengarsip setiap pesan sehingga jika serangkaian teks berbahaya dikirim dari satu pengguna ke pengguna lain, teks itu kan tertanam ke dalam log.

Dalam kasus yang lain, server Apple ditemukan menciptakan sebuah log entry yang merekam nama-nama yang diberikan ke sebuah iPhone oleh penggunanya dalam setelan (setting). Dari log entry ini, penyerang bisa menjalankan kode apapun yang mereka inginkan pada server, seperti mencuri atau menghapus data yang bersifat sensitif.

Kenapa kelemahan ini baru ditemukan?

Kode yang membuat open source software itu bisa dilihat, dijalankan dan bahkan bisa diedit oleh setiap orang. Transparansi ini dapat membuat software itu lebih kuat dan aman, karena ada banyak pasang mata yang mengembangkannya. Tapi, tidak ada software yang bisa dipastikan 100 persen aman.

Kode yang membuka peluang serangan Log4Shell telah ada cukup lama, namun baru disadari pada bulan lalu oleh seorang peneliti keamanan siber di perusahaan komputerisasi di Cina, Alibaba Cloud. Peneliti itu segera melaporkannya ke Apache Software Foundation, organisasi nirlaba di Amerika yang mengawasi ratusan proyek open source termasuk Log4j, untuk memberinya kesempatan mengatasinya sebelum diungkap ke publik.

Lalu seperti apa status ancamannya saat ini?

Apache telah memberi prioritas ‘sangat penting’ terhadap kerentanan itu dan telah dengan cepat mengembangkan solusinya. Sekarang, ratusan ribu tim IT sedang mengikuti memperbarui Log4j ke versi 2.15.0. Para tim IT juga masih harus membersihkan kode mereka dari potensi kerentanan dan mengawasi upaya-upaya percobaan peretasan.

Perlu dicatat, solusi menambal keamanan mungkin bisa cepat didapat, tapi biasanya perlu waktu untuk semua orang mengaplikasikannya. Komputer dan layanan jaringan juga kini sangat kompleks, berlapis-lapis dengan tingkatan abstraksi, kode, yang membuatnya butuh bulanan untuk bisa memperbarui seluruh layanannya.

Dan selalu ada mereka yang tidak mau melakukan apa-apa. Juga perangkat keras yang sudah tertinggal, kode yang belum diperbarui, yang bisa dengan mudah dieksploitasi hacker.