Sebuah kerentanan keamanan kritis telah ditemukan pada ekstensi Adobe Acrobat PDF untuk Google Chrome yang diinstal oleh lebih dari 300 juta pengguna di seluruh dunia. Kerentanan ini memungkinkan situs web berbahaya untuk mengakses pesan chat WhatsApp pribadi pengguna melalui manipulasi izin dan Same-Origin Policy (SOP) pada browser. Temuan ini menggarisbawahi risiko yang ditimbulkan oleh ekstensi browser dengan hak akses yang luas namun kurang diawasi.
APA YANG TERJADI?
Peneliti keamanan mengungkapkan bahwa flaw pada ekstensi Adobe Acrobat untuk Chrome bisa disalahgunakan oleh situs web penyerang untuk membaca konten dari aplikasi web WhatsApp yang terbuka pada tab lain di browser yang sama. Masalah ini disebabkan oleh cara ekstensi menangani pesan lintas asal dan kurangnya validasi origin pada saat memproses permintaan dari halaman web. Ketika pengguna mengunjungi situs berbahaya yang dibuat khusus, situs tersebut bisa memanfaatkan flaw ini untuk menyuntikkan skrip yang menginterogasi DOM dari tab WhatsApp Web dan mengekstrak riwayat percakapan, kontak, dan metadata komunikasi. Adobe telah merilis pembaruan untuk memperbaiki masalah ini setelah pemberitahuan responsible disclosure.
DETAIL TEKNIS
Kerentanan ini berakar pada implementasi message passing antara konten skrip ekstensi Adobe dan halaman web yang tidak memvalidasi origin pengirim dengan tepat. Ekstensi tersebut memiliki hak akses yang luas ke tab dan jendela browser karena diperlukan untuk fungsionalitas konversi PDF. Namun, ketika menangani pesan dari halaman web, ekstensi tidak memverifikasi apakah pengirim berasal dari domain yang sah sebelum menjalankan tindakan sensitif. Situs web penyerang bisa memanfaatkan celah ini untuk melakukan cross-site scripting (XSS) yang pada gilirannya bisa mengakses DOM dari tab WhatsApp Web melalui shared browser context. Karena WhatsApp Web tidak memiliki proteksi tambahan terhadap akses dari ekstensi browser yang diinstal, data chat pribadi menjadi rentan terhadap eksfiltrasi.
DAMPAK TERHADAP INDONESIA
Indonesia merupakan salah satu pasar terbesar bagi WhatsApp dengan lebih dari 100 juta pengguna aktif, dan banyak di antaranya mengakses WhatsApp Web melalui browser Chrome di komputer kantor atau rumah. Keberadaan ekstensi Adobe Acrobat yang diinstal secara default pada banyak perangkat korporat menjadikan populasi pengguna Indonesia rentan terhadap teknik eksploitasi ini. Insiden ini juga menggarisbawahi bahwa ekosistem browser extension sering kali menjadi blind spot dalam strategi keamanan organisasi, termasuk instansi pemerintah dan BUMN yang menggunakan Chrome sebagai browser standar. Data komunikasi pribadi maupun korporat yang bocor melalui celah semacam ini bisa melanggar UU PDP dan menimbulkan konsekuensi hukum bagi organisasi yang tidak melakukan patching tepat waktu.
REKOMENDASI MITIGASI
Pengguna Chrome harus segera memperbarui ekstensi Adobe Acrobat ke versi terbaru melalui Chrome Web Store. Jika ekstensi tersebut tidak diperlukan untuk operasional harian, pertimbangkan untuk menonaktifkan atau menghapusnya hingga pembaruan sepenuhnya diterapkan. Administrator IT di organisasi harus menggunakan Google Admin Console atau kebijakan Chrome Enterprise untuk mengontrol ekstensi yang diizinkan di perangkat karyawan dan memblokir ekstensi yang memiliki riwayat kerentanan kritis. Selain itu, pengguna disarankan untuk tidak membuka WhatsApp Web secara bersamaan dengan menjelajahi situs web yang tidak dikenal atau tidak tepercaya, serta mempertimbangkan penggunaan container browser terpisah untuk aplikasi sensitif.
Analisa Retasan
Temuan kerentanan pada ekstensi Adobe Acrobat Chrome yang memungkinkan akses tidak sah ke WhatsApp Web mengungkapkan dimensi ancaman yang sering diabaikan dalam arsitektur keamanan browser modern, yaitu trust boundary antara ekstensi pihak ketiga dan aplikasi web sensitif. Browser Chrome dirancang dengan model sandbox yang kuat untuk mengisolasi tab satu sama lain, namun ekstensi dengan permission broad seperti access to all sites bisa bertindak sebagai proxy yang melintasi batas isolasi tersebut. Dalam kasus ini, kurangnya validasi origin pada message handler ekstensi Adobe menciptakan vektor serangan di mana situs web berbahaya bisa menginstruksikan ekstensi untuk melakukan operasi yang seharusnya tidak diizinkan. Hal ini menunjukkan bahwa keamanan browser tidak hanya bergantung pada sandbox engine, tetapi juga pada kualitas kode setiap ekstensi yang diinstal oleh pengguna.
Secara teknis, flaw ini mirip dengan pola kerentanan yang pernah ditemukan pada ekstensi browser lainnya yang menangani data sensitif, seperti kasus pada ekstensi antivirus dan password manager yang tidak memvalidasi origin pengirim pesan. Perbedaannya, skala dampak pada Adobe Acrobat jauh lebih besar karena basis instalasi yang mencapai 300 juta pengguna, yang secara signifikan melebihi basis pengguna kebanyakan ekstensi keamanan. Selain itu, fakta bahwa WhatsApp Web tidak memiliki mekanisme anti-framing atau isolasi khusus terhadap akses dari ekstensi browser menunjukkan bahwa aplikasi messaging yang diakses melalui browser mengandalkan asumsi keamanan yang rapuh. Serangan semacam ini bisa berkembang menjadi teknik yang lebih berbahaya jika digabungkan dengan phishing yang meyakinkan untuk memancing pengguna mengunjungi situs exploit sambil tetap login di WhatsApp Web.
Untuk Indonesia, kerentanan ini menjadi alarm bahwa strategi keamanan siber nasional harus mulai memperhatikan risiko pada lapisan browser dan ekstensi, bukan hanya pada infrastruktur jaringan dan endpoint protection tradisional. Instansi pemerintah yang menggunakan WhatsApp Web untuk koordinasi internal dan layanan publik perlu mengevaluasi kebijakan penggunaan browser serta ekstensi yang diizinkan di perangkat kerja. Program pelatihan SKKNI Siber harus memasukkan modul mengenai keamanan browser modern, termasuk risiko ekstensi berbahaya dan teknik isolasi aplikasi web. Tanpa adanya kesadaran pada lapisan ini, data komunikasi sensitif milik pemerintah maupun swasta akan terus berada dalam risiko tinggi terhadap eksploitasi yang memanfaatkan trust model browser yang sudah usang.
Sumber: Cyber Threat Intelligence
