Tim BI.ZONE Vulnerability Research mengungkap OnlyShells, rantai lima kerentanan pada ONLYOFFICE Desktop Editors yang memungkinkan penyerang mencapai shell sebagai NT AUTHORITY\SYSTEM hanya dengan membuka dokumen berbahaya tanpa interaksi pengguna tambahan. Rantai ini menggabungkan zero-click XSS, bug RCE pada mesin V8 Chromium usang, dan eskalasi hak pada update service SYSTEM, menunjukkan bahwa arsitektur aplikasi desktop modern bisa menjadi permukaan serangan yang sangat efisien.
APA YANG TERJADI?
ONLYOFFICE Desktop Editors adalah aplikasi perkantoran berbasis Chromium Embedded Framework (CEF) yang digunakan sebagai alternatif Microsoft Office. Tim peneliti menemukan bahwa aplikasi ini menjalankan Chromium 109 yang sudah end-of-life sejak tahun 2023 tanpa browser sandboxing, dan memasang update service yang berjalan dengan hak SYSTEM. Kombinasi arsitektur ini memungkinkan penyerang menyusun rantai exploit dimulai dari XSS zero-click yang dipicu saat dokumen dibuka, dilanjutkan dengan type-confusion pada V8 Turbofan untuk mendapatkan eksekusi kode native, dan diakhiri dengan manipulasi update service untuk menghapus file arbitrary melalui junction yang pada akhirnya menghasilkan rollback script hijacking di Config.Msi.
DETAIL TEKNIS
Tiga kerentanan XSS ditemukan pada parser dokumen: CVE-2025-68917 melalui edit comment field, CVE-2025-68935 melalui font name injection pada list parameters, dan CVE-2025-68936 melalui document theme name yang tidak di-escape saat dokumen dibuka. XSS terakhir adalah zero-click, artinya JavaScript berjalan otomatis tanpa interaksi pengguna. Kode JavaScript kemudian mengeksploitasi CVE-2023-2033, bug type-confusion pada V8 JIT compiler Turbofan yang ada di Chromium 109, untuk mendapatkan primitive read/write arbitrary di heap sandbox V8. Dari situ, penyerang menyusun shellcode intermediate dan mengganti referensi fungsi JavaScript dengan shellcode tersebut. Stage terakhir mengeksploitasi CVE-2026-41030 pada update service yang mengekspos port UDP lokal untuk cleanup file. Service menghapus file berdasarkan prefix tanpa validasi path, memungkinkan penyerang membuat junction ke Config.Msi, menghapus direktori tersebut, lalu mengganti rollback script MSI dengan payload berbahaya yang dieksekusi sebagai SYSTEM saat instalasi dibatalkan.
DAMPAK TERHADAP INDONESIA
ONLYOFFICE merupakan salah satu alternatif Microsoft Office yang populer di Indonesia, terutama di kalangan instansi pemerintah, lembaga pendidikan, dan organisasi non-profit yang mencari solusi perkantoran berbasis open-source dengan biaya lebih terjangkau. Sifat zero-click dari rantai OnlyShells membuatnya sangat berbahaya bagi pengguna Indonesia yang sering kali membuka dokumen lampiran email tanpa verifikasi sumber. Budaya kerja yang mengandalkan pertukaran dokumen via WhatsApp dan email tanpa protokol keamanan memperburuk risiko, karena satu dokumen berbahaya yang dibuka bisa langsung mengkompromisi seluruh workstation dengan hak SYSTEM.
REKOMENDASI MITIGASI
Pengguna ONLYOFFICE harus segera memperbarui ke versi 9.3.0 atau lebih baru yang telah memperbaiki seluruh rantai OnlyShells. Dokumen dari sumber tidak dikenal harus dibuka di lingkungan terisolasi seperti disposable VM atau sandbox. Administrator jaringan harus memantau traffic UDP lokal yang tidak biasa menuju update service ONLYOFFICE serta mendeteksi aktivitas penghapusan dan pembuatan ulang direktori Config.Msi. Implementasi application whitelisting dan pembatasan pembuatan child process dari aplikasi editor dokumen juga direkomendasikan untuk membatasi dampak post-exploitation.
Analisa Retasan
OnlyShells adalah contoh klasik architectural root cause di mana keputusan desain yang tidak aman memungkinkan rantai exploit yang seharusnya tidak perlu ada. Menggunakan CEF tanpa browser sandbox menghapuskan lapisan isolasi paling penting yang menjadikan browser modern relatif aman terhadap bug renderer. Menyandingkan engine tersebut dengan update service SYSTEM memberikan goalpost sempurna bagi penyerang: satu kali buka dokumen langsung menuju NT AUTHORITY\SYSTEM. Kerentanan V8 CVE-2023-2033 sebenarnya sudah di-patch oleh Google bertahun-tahun lalu, namun karena ONLYOFFICE tidak memperbarui engine Chromium mereka, bug tersebut hidup kembali dalam konteks aplikasi desktop yang jauh lebih berbahaya karena tidak memiliki sandbox dan memiliki akses ke filesystem lokal tanpa batasan.
Teknik LPE melalui Config.Msi rollback script hijacking bukan hal baru dalam ekosistem Windows; pola serupa pernah ditemukan pada kerentanan MSI installer tahun-tahun sebelumnya. Namun, penggunaannya melalui primitive arbitrary file deletion dari update service UDP yang tidak diautentikasi menunjukkan anti-pattern keamanan yang parah. Service dengan hak tertinggi yang mengekspos operasi filesystem melalui protokol UDP tanpa validasi path atau junction adalah desain yang secara inheren tidak aman. Kurangnya secure-by-design pada komponen ini mencerminkan bahwa tim pengembang mungkin tidak melakukan threat modeling pada update mechanism yang mereka bangun, meskipun komponen tersebut berjalan dengan privilege paling tinggi pada sistem.
Bagi ekosistem teknologi Indonesia, adopsi perangkat lunak open-source alternatif seperti ONLYOFFICE harus selalu diimbangi dengan due diligence keamanan yang sama ketatnya dengan software komersial. Sektor pendidikan dan pemerintah yang sering kali menjadi early adopter solusi gratis perlu menyadari bahwa engine browser yang outdated dalam aplikasi desktop membuka jalur serangan zero-click yang tidak proporsional. BSSN harus segera mengeluarkan advisory nasional untuk instansi yang menggunakan ONLYOFFICE agar melakukan update ke versi 9.3.0. Selain itu, kebijakan procurement IT harus mensyaratkan bukti patching engine third-party yang terintegrasi dalam aplikasi, bukan hanya patching aplikasi utama itu sendiri, karena kerentanan pada dependency yang usang bisa menjadi pintu masuk yang lebih berbahaya daripada bug pada kode aplikasi itu sendiri.
Sumber: BI.ZONE Vulnerability Research
