Tim riset kerentanan dari BI.ZONE telah menemukan serangkaian kelemahan kritis dalam ONLYOFFICE Desktop Editors, sebuah suite perkantoran open-source yang banyak diadopsi sebagai alternatif Microsoft Office. Kerentanan ini, yang dikolektif sebagai OnlyShells, merupakan rantai lima cacat keamanan yang ketika digabungkan memungkinkan penyerang mencapai eksekusi kode arbitrer (RCE) pada mesin korban melalui dokumen yang tampaknya tidak berbahaya.
APA YANG TERJADI?
Selama penilaian keamanan pada akhir tahun 2025, tim BI.ZONE mengidentifikasi bahwa ONLYOFFICE Desktop Editors memiliki beberapa kelemahan dalam pemrosesan dokumen, penanganan resource eksternal, dan mekanisme sandboxing. Rantai OnlyShells memanfaatkan kelima kelemahan ini secara berurutan: dimulai dari parsing dokumen yang tidak aman, dilanjutkan dengan pemanggilan resource eksternal yang tidak terfilter, hingga akhirnya mencapai kondisi di mana payload dapat dieksekusi di dalam konteks proses editor. Serangan ini tidak memerlukan interaksi pengguna selain membuka file dokumen yang telah dimanipulasi, menjadikannya vektor spear-phishing yang sangat efektif.
DETAIL TEKNIS
Rantai kerentanan OnlyShells terdiri dari lima stage yang saling melengkapi. Stage pertama terletak pada parser dokumen yang tidak melakukan validasi schema dengan ketat, memungkinkan penyerang menyuntikkan entitas XML yang merujuk ke resource eksternal (XXE-like behavior). Stage kedua dan ketiga melibatkan abuse mekanisme load macro dan OLE object, di mana konten aktif dapat disembunyikan di dalam struktur dokumen yang tampaknya statis. Stage keempat memanfaatkan kelemahan path traversal pada proses ekstraksi file temporary, sementara stage kelima merupakan kerentanan buffer handling yang memungkinkan penimpaan alamat memori dan pengalihan eksekusi ke shellcode yang disuntikkan. Ketika dirangkai, kelima stage ini membentuk exploit chain yang dapat melewati DEP dan ASLR pada konfigurasi default Windows.
DAMPAK TERHADAP INDONESIA
ONLYOFFICE telah mendapatkan adopsi yang signifikan di kalangan instansi pemerintah, perguruan tinggi, dan organisasi non-profit di Indonesia yang mencari solusi perkantoran bebas lisensi proprietary. Kementerian Kominfo bahkan telah mengkampanyekan penggunaan perangkat lunak open-source untuk mengurangi ketergantungan pada vendor asing. Namun, rantai kerentanan OnlyShells mengingatkan kita bahwa open-source bukanlah sinonim dengan keamanan; tanpa audit kode dan patch management yang ketat, perangkat lunak bebas tetap rentan terhadap exploitation. Instansi pemerintah yang menangani dokumen sensitif melalui ONLYOFFICE, seperti laporan keuangan atau data statistik nasional, menghadapi risiko serangan supply chain jika file dokumen yang diterima dari pihak eksternal telah dimanipulasi. BSSN perlu mengevaluasi apakah ONLYOFFICE yang digunakan di jaringan pemerintah telah diterapkan dengan konfigurasi macro restriction dan sandboxing yang memadai.
REKOMENDASI MITIGASI
Pengguna ONLYOFFICE Desktop Editors harus segera memperbarui aplikasi ke versi terbaru setelah vendor merilis patch. Sebelum patch tersedia, administrator dapat mengurangi risiko dengan menonaktifkan dukungan macro dan object linking and embedding (OLE) melalui kebijakan grup. File dokumen dari sumber tidak dikenal harus dibuka di dalam lingkungan sandbox atau mesin virtual yang terisolasi. Organisasi juga disarankan untuk menerapkan deep content inspection pada gateway email dan file transfer untuk mendeteksi anomali struktur dokumen. Tim keamanan perlu melakukan security awareness training khususnya bagi staf yang menangani dokumen dari eksternal, mengingat vektor serangan ini sangat bergantung pada social engineering untuk penyebaran awal.
Analisa Retasan
Rantai OnlyShells mengilustrasikan kompleksitas modern vulnerability research pada aplikasi desktop yang memiliki attack surface luas. Dari sudut pandang teknis, kelemahan pada stage pertama (XXE-like parsing) merupakan entry point yang klasik namun efektif, karena parser XML yang tidak mengimplementasikan entity expansion limit atau external entity restriction secara default akan membuka jalan bagi exfiltrasi file lokal dan SSRF internal. Kelanjutan dengan abuse macro dan OLE object menunjukkan bahwa ONLYOFFICE mengadopsi kompatibilitas fungsional dengan format Microsoft Office tanpa menyertakan security boundary yang setara. Stage keempat, path traversal pada temporary file extraction, mengindikasikan bahwa proses sandboxing atau isolation antara parser dan file system tidak diimplementasikan dengan baik. Akhirnya, stage kelima yang berupa buffer handling flaw memungkinkan penyerang melakukan corruption terhadap execution flow, menyelesaikan rantai dari file manipulation menjadi RCE penuh.
Secara historis, rantai kerentanan serupa telah terlihat pada LibreOffice (CVE-2019-9848) dan Apache OpenOffice, di mana kombinasi macro execution dengan path traversal memungkinkan penyerang mengeksekusi kode arbitrer melalui dokumen ODT yang dimanipulasi. Perbedaan utama OnlyShells adalah jumlah stage yang lebih banyak dan kompleksitas chaining yang lebih tinggi, menunjukkan bahwa permukaan serangan ONLYOFFICE memiliki kerapatan kelemahan yang signifikan. Pola ini juga mirip dengan serangan supply chain yang menargetkan ekosistem file format, seperti yang terjadi pada kasus .NET deserialization vulnerabilities. Prinsip abuse data format sebagai code execution vector tetap relevan. Hanya dengan melakukan source code audit berkelanjutan dan fuzzing terhadap parser dokumen, vendor dapat mengurangi density kerentanan semacam ini.
Implikasi bagi Indonesia sangat konkret mengingat momentum adopsi open-source di sektor publik. Program migrasi ke perangkat lunak bebas yang digaungkan oleh pemerintah harus disertai dengan pendanaan untuk security audit mandiri, karena ketergantungan pada temuan peneliti asing seperti BI.ZONE tidak dapat diandalkan untuk melindungi infrastruktur nasional. Indonesia memerlukan Computer Emergency Response Team (CERT) yang memiliki kapabilitas vulnerability analysis dan patch validation, bukan hanya incident response pasca-serangan. Selain itu, kurikulum pendidikan keamanan siber di Indonesia perlu memasukkan modul source code review dan secure coding practices untuk aplikasi desktop, mengingat banyak praktisi yang lebih fokus pada web security sementara ancaman file-based exploitation terus berkembang.
Sumber: Baca selengkapnya
