National Vulnerability Database (NVD) mencatat kerentanan kritis CVE-2026-58319 pada Apache Doris Frontend (FE) HTTP REST API yang memungkinkan penyerang untuk melakukan operasi administratif tanpa autentikasi. Dengan CVSS score 9.1 CRITICAL, kerentanan ini memungkinkan penyerang yang memiliki akses jaringan ke layanan HTTP FE untuk mengambil alih kontrol penuh terhadap klaster Apache Doris tanpa perlu kredensial apa pun — menjadikannya salah satu kerentanan paling berbahaya di ekosistem big data saat ini.
APA YANG TERJADI?
NIST NVD menerbitkan entri CVE-2026-58319 pada 14 Juli 2026 untuk kerentanan yang mempengaruhi Apache Doris, platform analitik data real-time open-source yang banyak digunakan untuk data warehousing dan analitik bisnis. Kerentanan ini terletak pada komponen Frontend (FE) HTTP REST API yang seharusnya hanya dapat diakses oleh administrator yang terautentikasi. Namun, karena kesalahan konfigurasi autentikasi, API administratif dapat diakses oleh siapa pun yang memiliki konektivitas jaringan ke layanan HTTP FE — tanpa perlu kredensial atau token autentikasi apa pun. Ini memungkinkan penyerang untuk melakukan operasi administratif seperti membuat dan menghapus database, mengubah konfigurasi klaster, mengelola user, dan menjalankan query data secara langsung.
DETALIH TEKNIS
CVE-2026-58319 memiliki CVSS v3.1 score 9.1 (CRITICAL) dengan attack vector Network, attack complexity Low, privileges required None, user interaction None, dan impact Confidentiality High, Integrity High, Availability High. Artinya, kerentanan ini dapat dieksploitasi dari jarak jauh tanpa autentikasi dan tanpa interaksi pengguna, dengan dampak penuh terhadap kerahasiaan, integritas, dan ketersediaan data. Apache Doris banyak digunakan oleh perusahaan teknologi besar untuk analitik data real-time, menjadikan potensi dampak kerentanan ini sangat luas. Penyerang dapat melakukan exfiltrasi data, manipulasi data analitik, atau bahkan menonaktifkan seluruh klaster Doris. Apache telah merilis patch dalam versi terbaru, dan pengguna harus segera melakukan pembaruan.
DAMPAK TERHADAP INDONESIA
Apache Doris digunakan oleh berbagai perusahaan teknologi dan startup di Indonesia, terutama di sektor fintech, e-commerce, dan perusahaan rintisan yang membutuhkan analitik data real-time. Dengan CVSS score 9.1, kerentanan ini harus ditangani dengan urgensi tinggi oleh seluruh organisasi yang menggunakan Apache Doris. Organisasi Indonesia harus segera melakukan inventaris untuk menentukan apakah mereka menjalankan Apache Doris versi yang terdampak, memverifikasi apakah layanan FE HTTP mereka terexpose ke jaringan, dan menerapkan patch dari Apache segera. Bagi organisasi yang menjalankan layanan Doris di cloud publik, risikonya menjadi lebih tinggi karena kemungkinan besar layanan HTTP mereka dapat diakses dari Internet.
REKOMENDASI MITIGASI
Perbarui Apache Doris ke versi terbaru yang telah memperbaiki CVE-2026-58319. Pastikan layanan HTTP FE tidak terexpose ke Internet atau jaringan yang tidak terkendali — gunakan firewall dan network segmentation untuk membatasi akses. Aktifkan autentikasi yang kuat pada seluruh endpoint API. Gunakan network monitoring untuk mendeteksi aktivitas mencurigakan pada port HTTP FE. Lakukan vulnerability scanning secara berkala untuk mengidentifikasi kerentanan serupa di infrastruktur data analytics lainnya. Pastikan tim keamanan siber memiliki playbook respons insiden untuk skenario kompromi database analytics.
Kerentanan tanpa autentikasi pada infrastruktur data analytics adalah mimpi buruk bagi setiap organisasi. Dengan CVSS 9.1, CVE-2026-58319 memberikan penyerang akses penuh ke data analitik sensitif — termasuk data pelanggan, transaksi keuangan, dan intelijen bisnis. Ini menegaskan pentingnya secure-by-default configuration dan security-first design dalam pengembangan software open-source.
Sumber: NIST NVD – CVE-2026-58319
