Luke Paris dari Paradoxis mengungkap CVE-2026-57239, kerentanan eskalasi hak akses lokal pada Foxit PDF Reader yang memungkinkan pengguna tidak berprivilege mencapai NT AUTHORITY\SYSTEM melalui kombinasi DLL sideloading dan eksploitasi mekanisme kriptografi pada update service internal. Kerentanan ini menunjukkan bahwa service dengan hak tinggi yang memonitor direktori user-writable tetap menjadi vector LPE yang sangat favorit di kalangan peneliti keamanan.
APA YANG TERJADI?
FoxitPDFReaderUpdateService.exe adalah komponen update Foxit yang berjalan sebagai SYSTEM dan secara kontinu memonitor direktori user-writable untuk file konfigurasi. Service ini menggunakan skema enkripsi AES-128 CBC custom dengan kunci hardcoded untuk melakukan komunikasi IPC internal. Luke Paris menemukan bahwa kunci hardcoded bisa diekstrak melalui rekayasa balik sederhana, memungkinkan penyerang membuat pesan IPC terenkripsi yang valid untuk mengarahkan service mengeksekusi binary dari lokasi yang dikontrol penyerang. Binary tersebut kemudian melakukan DLL sideloading melalui WINSPOOL.DRV yang diposisikan secara strategis, menghasilkan eksekusi kode dalam konteks SYSTEM.
DETAIL TEKNIS
Analisis rekayasa balik pada binary updater mengungkapkan kunci enkripsi hardcoded berupa string heksadesimal 16-byte: c6c7702dbcbf4678. Enkripsi menggunakan AES-128 CBC dengan encoding UTF-16 LE yang menyebabkan kesulitan alignment saat dekripsi. Service memvalidasi nama file executable dan memeriksa sertifikat digital, namun penyerang mengakali ini dengan membuat pesan IPC terenkripsi yang menginstruksikan service untuk mengeksekusi FoxitPDFReaderUpdater.exe dari lokasi user-writable. Updater yang dimuat kemudian melakukan sideloading WINSPOOL.DRV berbahaya karena DLL tersebut dimuat sebelum mekanisme anti-sideload aktif. PoC otomatis yang dikembangkan menggunakan Rust menangani seluruh rantai mulai dari enkripsi, pembuatan proxy DLL, penempatan file, hingga pemicu eksekusi secara otomatis. Foxit telah merilis patch pada versi 2026.2 dengan memperketat DLL search order, membatasi izin tulis ke direktori ProgramData, dan mengganti mekanisme IPC dengan Windows RPC.
DAMPAK TERHADAP INDONESIA
Foxit PDF Reader adalah salah satu aplikasi pembaca PDF yang paling banyak digunakan di Indonesia, terutama di kalangan korporasi, firma hukum, sektor perbankan, dan instansi pemerintah yang memerlukan manipulasi dokumen PDF intensif dengan biaya lebih terjangkau dibandingkan Adobe Acrobat. Kebiasaan membuka lampiran PDF dari email tanpa sandboxing membuka jalur initial access yang sempurna. Jika penyerang berhasil mengeksekusi kode sebagai user biasa melalui teknik lainnya, CVE-2026-57239 menyediakan path eskalasi yang reliable ke SYSTEM, memungkinkan instalasi persistent backdoor atau pencurian data rahasia dengan hak tertinggi.
REKOMENDASI MITIGASI
Pengguna dan organisasi harus segera memperbarui Foxit PDF Reader ke versi 2026.2 atau lebih baru. Tim keamanan harus memantau aktivitas penulisan file ke path C:\ProgramData\Foxit Software\Foxit PDF Reader\FoxitData.txt oleh proses yang tidak ditandatangani Foxit Software Inc. Modul load event dari direktori AppData ke dalam proses Foxit juga harus menjadi fokus deteksi. Kejadian pembuatan service cepat yang dilakukan oleh proses SYSTEM dan dilanjutkan dengan penghapusan service dalam waktu singkat harus dianggap indikator kompromi tinggi. Penerapan YARA rule yang dirilis oleh Luke Paris bisa membantu tim SOC mengidentifikasi payload berbahaya yang menggunakan teknik sideloading WINSPOOL.DRV ini.
Analisa Retasan
CVE-2026-57239 menunjukkan bahwa keberadaan service SYSTEM yang memonitor direktori user-writable adalah anti-pattern keamanan yang berulang di banyak aplikasi pihak ketiga. Kombinasi DLL sideloading dengan kriptografi custom yang lemah menciptakan exploit chain yang elegan namun sangat berbahaya. Kunci hardcoded AES dalam binary merupakan kesalahan fundamental yang tidak seharusnya ada pada software modern; kunci tersebut sama sekali tidak dilindungi dan bisa diekstrak dengan analisis statis sederhana menggunakan tool seperti Ghidra atau IDA Pro. Penggunaan encoding UTF-16 LE tanpa dokumentasi yang jelas menunjukkan bahwa skema kriptografi ini dibangun tanpa security review yang memadai, mengubah mekanisme yang seharusnya melindungi menjadi obstacle yang bisa dipecahkan untuk mencapai eksekusi terarah.
Rantai eksploitasi ini mengingatkan pada pola serupa yang ditemukan pada updater service aplikasi lain, di mana mekanisme auto-update yang berjalan dengan hak tinggi menjadi vector LPE favorit. Perbedaan pada Foxit adalah penggunaan enkripsi IPC yang seharusnya menambah keamanan, namun justru menjadi obstacle yang bisa dipecahkan untuk mencapai eksekusi terarah setelah kunci ditemukan. Validasi sertifikat pada binary executable tidak efektif ketika penyerang bisa mengarahkan service untuk memuat DLL proxy yang tidak terverifikasi melalui sideloading. Ini menunjukkan bahwa defense-in-depth memerlukan validasi pada setiap layer eksekusi, bukan hanya pada endpoint akhir, dan bahwa custom cryptography dalam security-critical path hampir selalu menghasilkan kelemahan yang lebih buruk daripada solusi standar.
Di Indonesia, di mana Foxit PDF Reader adalah salah satu software yang paling banyak dipasang di workstation korporat dan instansi pemerintah, kerentanan ini memiliki dampak yang sangat luas. Kebiasaan membuka attachment PDF dari email tanpa sandboxing membuka jalur initial access yang sempurna. Setelah kode berjalan sebagai user biasa, CVE-2026-57239 menyediakan path eskalasi yang reliable ke SYSTEM melalui service yang secara bawaan ada pada instalasi Foxit. Administrator sistem harus memprioritaskan patching Foxit dengan tingkat urgensi yang sama dengan patching sistem operasi, dan mempertimbangkan pembatasan hak pengguna lokal (Least User Access) untuk mengurangi kemungkinan penempatan file di lokasi yang dimonitor oleh service. Tanpa mitigasi ini, workstation dengan Foxit yang belum di-patch menjadi target yang sangat menarik bagi aktor ancaman yang mencari LPE reliable.
Sumber: Luke Paris, Paradoxis
