7 Kerentanan Perangkat Lunak Terburuk Sepanjang Masa

Semua program komputer mengandalkan kode untuk berfungsi, tetapi kelemahan pengkodean dapat memberi jalan bagi kerentanan perangkat lunak. Beberapa di antaranya mengakibatkan kepanikan yang meluas dan konsekuensi yang mengerikan, mengguncang dunia keamanan siber.

Jadi, kerentanan perangkat lunak mana yang terbesar dan paling berbahaya?

1. Log4Shell

Kerentanan perangkat lunak Log4Shell ada di dalam Apache Log4j, kerangka kerja logging Java populer yang digunakan oleh puluhan juta orang di seluruh dunia.

Pada November 2021, sebuah kesalahan pengkodean yang kritis ditemukan oleh Chen Zhaojun, anggota Tim Keamanan Cloud Alibaba. Zhaojun pertama kali menyadari kelemahan dalam server Minecraft.

Cacat tersebut, secara resmi bernama CVE-2021-44228, kemudian dikenal sebagai Log4Shell.

Celah keamanan Log4Shell adalah a

kerentanan zero-day, sehingga dieksploitasi oleh pelaku jahat sebelum diketahui oleh pakar keamanan siber, artinya mereka dapat menjalankan eksekusi kode jarak jauh. Melalui ini, peretas dapat memasang kode berbahaya ke dalam Log4j, memungkinkan pencurian data, mata-mata, dan penyebaran malware.

Meskipun tambalan dirilis untuk kerentanan Log4Shell tidak lama setelah ditemukan, kelemahan keamanan ini sama sekali bukan masa lalu.

Penjahat dunia maya masih menggunakan Log4Shell dalam eksploitasi mereka hingga hari ini, meskipun tambalan tersebut telah mengurangi tingkat ancaman secara signifikan. Berdasarkan Rezillion, 26 persen yang mengejutkan dari server Minecraft publik masih rentan terhadap Log4Shell.

Jika perusahaan atau individu belum memperbarui perangkat lunak mereka, kerentanan Log4Shell kemungkinan masih ada, memberikan pintu terbuka bagi penyerang.

2. Biru Abadi

EternalBlue (dikenal secara resmi sebagai MS17-010) adalah kerentanan perangkat lunak yang mulai menimbulkan kegemparan pada April 2017. Apa yang mengejutkan tentang kerentanan ini adalah sebagian dikembangkan oleh NSA, sebuah badan intelijen besar Amerika yang dikenal membantu Departemen Pertahanan AS dalam urusan militer.

NSA menemukan kerentanan EternalBlue di dalam Microsoft, meskipun baru lima tahun kemudian Microsoft menyadari kelemahan tersebut. EternalBlue dikerjakan oleh NSA sebagai kemungkinan senjata dunia maya, dan butuh peretasan agar dunia diberi tahu tentang hal ini.

Pada 2017, grup peretasan yang dikenal sebagai Shadow Brokers membocorkan keberadaan EternalBlue setelah menyusup ke NSA secara digital. Ternyata cacat tersebut memberi akses pintu belakang rahasia NSA ke berbagai perangkat berbasis Windows, termasuk yang menjalankan Windows 7, Windows 8, dan Windows Vista yang sering difitnah. Dengan kata lain, NSA dapat mengakses jutaan perangkat tanpa sepengetahuan pengguna.

Meskipun ada tambalan untuk EternalBlue, kurangnya kesadaran Microsoft dan publik akan kelemahan tersebut membuat perangkat rentan selama bertahun-tahun.

3. Sakit hati

Cacat keamanan Heartbleed secara resmi ditemukan pada tahun 2014, meskipun telah ada di pustaka kode OpenSSL selama dua tahun sebelumnya. Versi lama tertentu dari pustaka OpenSSL berisi Heartbleed, yang dianggap parah saat ditemukan.

Dikenal secara resmi sebagai CVE-2014-0160, Heartbleed menjadi perhatian yang cukup kritis karena lokasinya di OpenSSL. Karena OpenSSL digunakan sebagai Lapisan enkripsi SSL antara database situs web dan pengguna akhir, banyak data sensitif dapat diakses melalui kelemahan Heartbleed.

Namun selama proses komunikasi ini, ada koneksi lain yang tidak dienkripsi, semacam lapisan dasar yang memastikan kedua komputer dalam percakapan aktif.

Peretas menemukan cara untuk mengeksploitasi jalur komunikasi yang tidak terenkripsi ini untuk memeras data sensitif dari komputer yang sebelumnya diamankan. Pada dasarnya, penyerang akan membanjiri sistem dengan permintaan dengan harapan mendapatkan kembali beberapa informasi menarik.

Heartbleed ditambal pada bulan yang sama dengan penemuan resminya, tetapi OpenSSL versi lama masih rentan terhadap cacat tersebut.

4. Bunuh Ganda

Double Kill (atau CVE-2018-8174) adalah kerentanan kritis zero-day yang membahayakan sistem Windows. Ditemukan pada tahun 2018, kelemahan ini menjadi berita utama keamanan siber karena kehadirannya di semua sistem operasi Windows mulai dari 7 dan seterusnya.

Double Kill ditemukan di browser Windows Internet Explorer dan mengeksploitasi cacat skrip VB. Metode serangan melibatkan penggunaan halaman web Internet Explorer berbahaya yang berisi kode yang diperlukan untuk menyalahgunakan kerentanan.

Double Kill berpotensi memberi penyerang jenis izin sistem yang sama dengan pengguna asli yang sah jika dieksploitasi dengan benar. Penyerang bahkan dapat memperoleh kendali penuh atas perangkat Windows seseorang dalam skenario seperti itu.

Pada Mei 2018, Windows merilis tambalan untuk Double Kill.

5. CVE-2022-0609

CVE-2022-0609 adalah kerentanan perangkat lunak parah lainnya yang diidentifikasi pada tahun 2022. Bug berbasis Chrome ternyata merupakan kerentanan zero-day yang dieksploitasi secara liar oleh penyerang.

Kerentanan ini dapat memengaruhi semua pengguna Chrome, itulah sebabnya tingkat keparahannya sangat tinggi. CVE-2022-0609 dikenal sebagai a bug penggunaan-setelah-bebas, artinya memiliki kemampuan untuk mengubah data dan mengeksekusi kode dari jarak jauh.

Tidak butuh waktu lama bagi Google untuk merilis tambalan untuk CVE-2022-0609 di pembaruan browser Chrome.

6. BlueKeep

Pada Mei 2019, cacat perangkat lunak kritis yang dikenal sebagai BlueKeep ditemukan oleh Kevin Beaumont, pakar keamanan siber. Cacat tersebut dapat ditemukan di Microsoft Remote Desktop Protocol, yang digunakan untuk mendiagnosis masalah sistem dari jarak jauh, serta memberi pengguna akses jarak jauh ke desktop mereka dari perangkat lain.

Secara resmi dikenal sebagai CVE-2019-0708, BlueKeep adalah kerentanan eksekusi jarak jauh, artinya dapat digunakan untuk mengeksekusi kode dari jarak jauh pada perangkat target. Bukti konsep yang dikembangkan oleh Microsoft menunjukkan bahwa komputer yang ditargetkan dapat dikompromikan dan diambil alih oleh penyerang dalam waktu kurang dari satu menit, menyoroti tingkat keparahan cacat tersebut.

Setelah perangkat diakses, penyerang dapat mengeksekusi kode dari jarak jauh di desktop pengguna.

Satu-satunya keuntungan dari BlueKeep adalah hanya memengaruhi versi Windows yang lebih lama, termasuk:

• Windows Vista.
• Windows XP.
• Windows Server 2003.
• WindowsServer 2008.
• Windows Server 2008 R2.
• Windows 7.

Jika perangkat Anda menjalankan OS Windows mana pun yang lebih baru dari yang tercantum di atas, Anda mungkin tidak perlu khawatir tentang BlueKeep.

7. ZeroLogon

ZeroLogon, atau CVE-2020-1472 sebagaimana dikenal secara resmi, adalah kelemahan keamanan perangkat lunak berbasis Microsoft yang ditemukan pada Agustus 2020. Sistem Penilaian Kerentanan Umum (CVSS) memberi skor kelemahan ini 10 dari 10 pada skala keparahan, membuatnya sangat berbahaya.

Ini dapat mengeksploitasi sumber daya Direktori Aktif yang biasanya ada di server perusahaan Windows. Secara resmi, ini dikenal sebagai Active Directory Netlogon Remote Protocol.

ZeroLogon menempatkan pengguna dalam risiko karena berpotensi mengubah detail akun yang sensitif, termasuk kata sandi. Cacat tersebut mengeksploitasi metode autentikasi sehingga akun dapat diakses tanpa memverifikasi identitas.

Di bulan yang sama dengan penemuannya, Microsoft merilis dua tambalan untuk ZeroLogon.

Kerentanan Perangkat Lunak Sangat Umum Mengkhawatirkan

Kami sangat bergantung pada perangkat lunak sehingga wajar jika bug dan kekurangan muncul. Tetapi beberapa dari kesalahan pengkodean ini dapat memberi jalan bagi kerentanan keamanan yang sangat dapat dieksploitasi, menempatkan penyedia dan pengguna dalam risiko.