Seorang security researcher merilis analisis root cause CVE-2026-50458, sebuah vulnerability Use-After-Free (UAF) di Windows Brokering File System (bfs.sys) yang dipatch Microsoft pada Juli 2026 dalam rilis Patch Tuesday terbesar dalam sejarah dengan lebih dari 600 kerentanan diperbaiki.
APA YANG TERJADI?
Vulnerability ini ditemukan setelah researcher mengaudit bfs.sys, sebuah Windows minifilter driver yang berfungsi sebagai trusted broker mengelola operasi file, pipe, dan registry antara aplikasi user mode yang dibatasi (AppContainer/UWP) dengan sistem operasi. Komponen berukuran kecil (153 KB) ini telah memiliki 21 CVE sejak 2024, dengan 12 di antaranya termasuk dalam kelas Use-After Free (CWE-416) dan 5 terkait race condition (CWE-362). Bug ini dipicu melalui race condition pada path IOCTL 0x228004 yang ditangani oleh fungsi BfsProcessSetPolicyRequest dan BfsAddOrModifyEntry.
DETAIL TEKNIS
Root cause berada di fungsi BfsInsertDirectory di mana entry yang dikembalikan oleh RtlInsertElementGenericTableAvl tidak selalu memiliki reference count yang valid. Ketika dua atau lebih thread secara konkuren mencoba membuat direktori dengan nama komponen yang sama, satu thread berhasil memasukkan entry baru dan mendapatkan reference count yang valid, sementara thread lain menerima entry yang sudah ada (duplicate) namun tidak mendapatkan increment pada reference count. Namun, caller BfsAddOrModifyEntry selalu memanggil BfsDereferenceTableEntry pada entry+8 yang dikembalikan, mengasumsikan bahwa reference count telah diambil. Akibatnya, setiap caller duplicate mengonsumsi reference count yang tidak pernah dimiliki, yang dapat menurunkan reference count ke nol dan membebaskan objek Bfse allocation sementara thread lain masih menggunakan pointer entry+8. PoC yang dibuat menggunakan 128 thread konkuren yang mensinkronkan race melalui semaphore terhadap path yang sama, menunjukkan crash SYSTEM_SERVICE_EXCEPTION (0x3b) dengan faulting module bfs!BfsInsertDirectoryEntry. Microsoft mengklasifikasikan vulnerability ini sebagai Exploitation Less Likely, namung UAF dapat ditrigger dari Medium Integrity Level tanpa elevasi dalam konfigurasi tertentu.
DAMPAK TERHADAP INDONESIA
Windows tetap menjadi sistem operasi dominan di Indonesia, baik di sektor korporat, pemerintahan, maupun pengguna rumahan. Bfs.sys adalah komponen kernel yang ada di setiap instalasi Windows modern dan berperan dalam isolasi aplikasi AppContainer serta sandbox. Kerentanan kernel seperti ini menimbulkan risiko local privilege escalation (LPE) yang dapat dimanfaatkan oleh malware untuk melewati sandbox atau meningkatkan hak akses dari user biasa ke SYSTEM. Mengingat masih banyaknya organisasi Indonesia yang menggunakan endpoint Windows dengan patch management tidak teratur, exposure terhadap kerentanan semacam ini cukup signifikan. Selain itu, kompleksitas eksploitasi race condition sering kali menurunkan prioritas patching, padahal PoC telah menunjukkan crash dapat direproduksi secara konsisten.
REKOMENDASI MITIGASI
Organisasi harus segera menerapkan patch Microsoft dari Juli 2026 yang memperbaiki CVE-2026-50458. Prioritaskan patching pada endpoint yang menjalankan aplikasi AppContainer atau UWP, termasuk lingkungan pengembangan yang menggunakan AgenticAppContainer capability. Pantau anomali crash sistem yang melibatkan bfs.sys melalui Windows Error Reporting atau kernel dump analysis. Batasi eksekusi aplikasi tidak tepercaya melalui Application Control. Untuk lingkungan high-risk, pertimbangkan untuk memantau IOCTL yang tidak biasa ke \Device\Bfs dari proses yang tidak dikenal. Security researcher juga merekomendasikan defensive hardening pada mekanisme reference counting di kernel drivers secara umum.
Analisa Retasan
Analisis CVE-2026-50458 memberikan wawasan mendalam tentang kerentanan di komponen Windows yang sering terabaikan: minifilter drivers. Windows Brokering File System merupakan bagian dari arsitektur isolasi aplikasi modern Windows, dan kerentanan di sini berdampak pada seluruh model keamanan AppContainer. Fakta bahwa bfs.sys memiliki 21 CVE dalam dua tahun terakhir, dengan mayoritas UAF dan race condition, menunjukkan bahwa komponen ini mengalami kesulitan fundamental dalam manajemen concurrency dan reference counting. Pola bug yang ditemukan researcher misplaced push locks, ExAcquireRundownProtection yang salah posisi, fungsi Get*/Query* yang memodifikasi state tanpa lock, dan penggunaan BfsDereference* yang tidak tepat adalah anti-pattern klasik dalam pengembangan driver Windows yang telah didokumentasikan sejak lama namun masih sulit dihindari dalam praktik.
Dari sudut pandang eksploitasi, race condition dalam kernel merupakan tantangan yang signifikan karena memerlukan presisi timing dan konkurensi yang tinggi. Namun, PoC yang disertakan menunjukkan bahwa dengan 128 thread dan sinkronisasi melalui semaphore, crash dapat dipicu secara konsisten pada hardware bare metal, meskipun reliabilitas menurun di virtual machine. Upaya mengubah UAF ini menjadi exploit LPE menghadapi hambatan: freed object berada di paged pool dengan ukuran 0xd0, dan reclaim menggunakan WNF_STATE_DATA hanya berhasil secara sporadis karena crowding pada pool tersebut. Meskipun Microsoft menilai Exploitation Less Likely, keberadaan PoC yang berfungsi dan klasifikasi UAF yang umumnya dapat di-reclaim membuat asesmen risiko harus tetap tinggi, terutama untuk lingkungan yang belum di-patch.
Bagi lanskap keamanan Indonesia, kerentanan kernel Windows sering kali menjadi blind spot karena keterbatasan tenaga ahli reverse engineering dan vulnerability research lokal. Ketergantungan pada patch vendor tanpa pemahaman mendalam terhadap root cause menciptakan jendela exposure yang lebih panjang. Ini menekankan pentingnya membangun kapasitas internal untuk kernel security research dan patch diffing. Selain itu, organisasi Indonesia perlu mengadopsi strategi patching yang lebih agresif untuk komponen kernel, bukan hanya aplikasi user-mode yang lebih terlihat. Kejadian ini juga mengingatkan kita pada CVE-2025-54105 di komponen yang sama, di mana race condition di BfsInsertDirectory telah dieksploitasi sebelumnya, menunjukkan bahwa ini adalah attack surface yang persisten dan memerlukan perhatian defensif berkelanjutan.
Sumber: Rotce Blog
