JAKARTA — Laporan Threat Intelligence terbaru yang dirilis oleh Bidang Siber, Sandi dan Aplikasi Diskominfotik Pemprov DKI Jakarta menyoroti temuan krusial dari Qualys Threat Research Unit (TRU). Rangkaian kerentanan yang diberi nama “CrackArmor” ditemukan pada modul keamanan AppArmor di kernel Linux dan berpotensi mengancam sekitar 12,6 juta sistem enterprise di seluruh dunia.
Kerentanan ini tergolong berisiko tinggi karena telah mengendap sejak kernel Linux versi 4.11 dirilis pada tahun 2017. CrackArmor memungkinkan penyerang lokal tanpa hak akses (unprivileged local attacker) melompati proteksi kernel, mengambil alih hak akses penuh sebagai root, hingga merusak isolasi container.
AppArmor merupakan mekanisme Mandatory Access Control (MAC) utama yang digunakan untuk membatasi kemampuan proses pada sistem operasi GNU/Linux. Beberapa parameter kunci dari ancaman ini mencakup:
Nama Kerentanan: CrackArmor
Komponen Terdampak: Modul AppArmor pada Kernel Linux
Distribusi Utama Terdampak: Ubuntu (LTS & non-LTS), Debian, dan SUSE/openSUSE
Tipe Celah: Confused Deputy, Out-of-Bounds (OOB) Read/Write, Stack Exhaustion, dan Memory Leak.
Status CVE: Merujuk pada laporan bug Launchpad #2143853 dan #2143042.
Bagi instansi pemerintah maupun organisasi enterprise yang memanfaatkan infrastruktur berbasis Linux secara masif, keberadaan celah ini membuka ruang eksploitasi besar. Penyerang dapat bergerak secara lateral dari Mesin Virtual (VM) ke host, memicu container breakout, hingga mengambil alih kontrol server utama.
Akar masalah CrackArmor bermula dari pengelolaan kebijakan AppArmor melalui filesystem securityfs yang berlokasi di /sys/kernel/security/apparmor/. Beberapa berkas kontrol pada direktori tersebut memiliki izin akses world-writable (0666), sementara pemeriksaan hak akses oleh kernel hanya dilakukan saat operasi write() dijalankan.
Kelemahan desain ini dimanfaatkan melalui beberapa mekanisme eksploitasi:
Serangan Confused Deputy: Penyerang biasa membuka berkas kontrol AppArmor berizin khusus seperti .load atau .replace. Selanjutnya, penyerang menipu aplikasi berhak akses tinggi (seperti su atau sudo) untuk menuliskan data ke file descriptor yang telah disiapkan sebelumnya.
Eksploitasi Berantai pada Sudo: Pada distribusi Ubuntu versi terbaru (seperti Ubuntu 24.04 dan 25.10), bug dropping hak akses pada sudo dapat dikombinasikan dengan Mail Transfer Agent (MTA) seperti Postfix untuk memperoleh eksekusi root secara penuh.
Recursive Stack Exhaustion: Memuat profil AppArmor dengan sub-profil terlampau dalam yang menghabiskan memori stack kernel (16 KB) hingga memicu Kernel Panic / Denial of Service (DoS).
Bypass KASLR: Pencocokan berkas tertentu memicu Out-of-Bounds Read yang membocorkan memori kernel hingga 64 KB untuk mengungkap offset KASLR guna memudahkan eksploitasi tingkat lanjut.
Tim Security Operations Center (SOC) dan administrator sistem diimbau untuk memeriksa log sistem (dmesg dan /var/log/audit/audit.log) terhadap indikator kompromi berikut:
Aktivitas Log Mencurigakan: Adanya pembatalan (unload) atau penggantian profil AppArmor secara tidak wajar.
Eksekusi Perintah Unik: Penggunaan perintah su -P, su --pty, atau su yang mengarahkan luaran (output redirect) langsung ke /sys/kernel/security/apparmor/.
Integritas Profil Terganggu: Munculnya kebijakan deny-all tidak sah pada layanan vital seperti sshd, atau hilangnya proteksi pada layanan sistem seperti rsyslogd dan cupsd.
Guna mencegah eskalasi serangan, langkah-langkah mitigasi berikut direkomendasikan:
Lakukan pembaruan kernel dan utilitas sistem terkait (sudo, util-linux) segera:
Ubuntu / Debian:
sudo apt update && sudo apt upgrade
```
SUSE / openSUSE:
sudo zypper update
```
Penggunaan Sudo Berbasis Rust: Pada Ubuntu 25.10+, disarankan beralih ke sudo-rs untuk meminimalkan risiko keamanan.
Monitoring Aktivitas AppArmor: Konfigurasikan pemantauan direktori securityfs menggunakan auditd:
sudo auditctl -w /sys/kernel/security/apparmor/ -p wa -k apparmor_change
```[cite: 4]
Batasi User Namespace: Jika tidak dibutuhkan oleh aplikasi, nonaktifkan unprivileged user namespace:
sudo sysctl -w kernel.unprivileged_userns_clone=0
```[cite: 4]
CrackArmor menggarisbawahi kelemahan fundamental yang luput dari perhatian pada salah satu lapisan pertahanan utama Linux selama hampir satu dekade[cite: 4]. Keberadaan Proof-of-Concept (PoC) dan publikasi detail teknis secara terbuka menjadikan pembaruan sistem (patching) dan audit kebijakan keamanan sebagai tindakan yang mendesak bagi seluruh administrator server Linux[cite: 4].