flawopen.com/Insiden

Insiden Keamanan & Post-Mortem

Analisis teknis insiden peretasan bersejarah dan lolosnya agen AI otonom dari sandbox — dari kecacatan kode hingga penguatan sistem produksi.

Setiap insiden yang didokumentasikan di sini adalah peristiwa nyata yang telah dilaporkan secara publik dan diverifikasi melalui basis data CVE.

Injeksi

Expression Injection · CWE-917 · CVSS 10.0

Log4Shell: hari ketika menulis catatan log berubah menjadi eksekusi kode jarak jauh

Post-mortem teknis Log4Shell (CVE-2021-44228): bagaimana lookup JNDI dalam Log4j 2 mengubah string pesan log menjadi eksekusi kode jarak jauh di ekosistem Java.

December 2021 · CVE-2021-44228 · Apache Log4j 2 Expression Injection · CWE-917 · 147M records

Equifax: patch berusia dua bulan yang diabaikan, 147 juta data pribadi bocor

Analisis teknis insiden Equifax (CVE-2017-5638): bagaimana header Content-Type HTTP mengeksekusi ekspresi OGNL di Apache Struts dan membocorkan data finansial.

2017 · CVE-2017-5638 · Apache Struts 2 SQL Injection · CWE-89 · Mass exploitation

MOVEit Transfer: satu celah SQL injection, ribuan organisasi terdampak

Analisis teknis MOVEit Transfer (CVE-2023-34362): bagaimana celah SQL injection tanpa autentikasi disusupi geng Cl0p untuk mencuri data ribuan organisasi via LEMURLOOT.

May 2023 · CVE-2023-34362 · Progress MOVEit Transfer SQL Injection · CWE-89 · Vulnerability chain

CVE-2025-1094: ketika fungsi penangkal injeksi justru menjadi pintu masuk kerentanan

Analisis teknis CVE-2025-1094: bagaimana kegagalan PQescapeLiteral() pada libpq memicu eksekusi kode di Departemen Keuangan AS.

2024–2025 · CVE-2025-1094 · PostgreSQL, BeyondTrust

Path Traversal & SSRF

Path Traversal · CWE-22 · CVSS 10.0

CVE-2026-85706: bagaimana satu permintaan tanpa autentikasi membaca berkas apa pun di server GitLab

Analisis teknis CVE-2026-85706: bagaimana satu permintaan HTTP tanpa autentikasi dapat membaca berkas arbitrer pada server GitLab self-managed.

September 2026 · CVE-2026-85706 · GitLab CE/EE SSRF · CWE-918 · 100M+ records

Capital One: celah SSRF yang mengubah permintaan web biasa menjadi kunci akses cloud

Analisis teknis insiden Capital One: bagaimana eksploitasi SSRF pada WAF mengakses layanan metadata IMDS AWS dan membocorkan data 106 juta pelanggan.

2019 · AWS EC2 instance metadata · Capital One

Keamanan Memori (C, C++, unsafe Rust)

Out-of-bounds Read · CWE-125 · C

Heartbleed: satu pemeriksaan batas memori yang hilang, setengah internet terancam

Analisis teknis Heartbleed (CVE-2014-0160): bagaimana ekstensi TLS Heartbeat pada OpenSSL membocorkan hingga 64 KB memori heap proses per permintaan tanpa autentikasi.

2014 · CVE-2014-0160 · OpenSSL Out-of-bounds Read · CWE-125 · C

Citrix Bleed: bagaimana salah membaca satu nilai balik fungsi melewati autentikasi multifaktor

Analisis teknis Citrix Bleed (CVE-2023-4966): bagaimana kekeliruan pembacaan nilai kembali snprintf di NetScaler ADC membocorkan token sesi aktif dan melewati MFA.

2023 · CVE-2023-4966 · Citrix NetScaler ADC/Gateway Out-of-bounds Write · CWE-787 · C

Baron Samedit: sepuluh tahun akses root tersembunyi di balik satu karakter garis miring terbalik

Analisis teknis Baron Samedit (CVE-2021-3156): bagaimana karakter backslash di akhir argumen sudo memungkinkan pengguna lokal mendapatkan akses root instan.

2021 · CVE-2021-3156 · sudo Out-of-bounds Write · CWE-787 · unsafe Rust

Ketika Rust tidak lagi aman: blok unsafe dan luapan buffer heap pada smallvec

Analisis teknis heap buffer overflow pada smallvec (CVE-2021-25900): bahaya mengandalkan size_hint() di dalam blok kode unsafe.

2021 · CVE-2021-25900 · RUSTSEC-2021-0003 · smallvec Rantai Eksploitasi Lengkap · CWE-787 / CWE-122 · Zero-Day

Rantai Zero-Day BlueMoon: Chrome & Windows

Analisis teknis rantai eksploit zero-day BlueMoon: menggabungkan out-of-bounds write Chrome V8 dengan heap overflow kernel Windows ALPC untuk meraih hak akses SYSTEM.

September 2026 · CVE-2026-87491 · CVE-2026-85880 · BlueMoon Akses di Luar Batas · CWE-125 / CWE-787 · Zero-Day Seluler

Zero-Day Universal ANGLE

Analisis teknis CVE-2025-14174: bagaimana penulisan di luar batas pada lapisan grafis ANGLE membahayakan Google Chrome dan Apple WebKit di iOS.

Desember 2025 · CVE-2025-14174 · ANGLE / WebKit / Chrome Resolusi Tautan Tidak Benar · CWE-59 · Zero-Day Aktif

Eskalasi Hak Akses Symlink Windows Update

Analisis teknis CVE-2026-81963: zero-day pada Windows Update (MoUsoCoreWorker) di mana persimpangan direktori NTFS dimanfaatkan untuk eskalasi hak istimewa ke SYSTEM.

September 2026 · CVE-2026-81963 · Windows Update Stack

Rantai Pasok Perangkat Lunak

Embedded Malicious Code · CWE-506 · CVSS 10.0

Backdoor XZ Utils: serangan rantai pasok tiga tahun yang nyaris menguasai seluruh server Linux

Analisis teknis backdoor XZ Utils (CVE-2024-3094): bagaimana pelaku membangun kepercayaan selama bertahun-tahun untuk membajak autentikasi sshd melalui liblzma.

2024 · CVE-2024-3094 · XZ Utils / liblzma Untrustworthy Component · CWE-1357 · Nation-state

SUNBURST: ketika jalur build perangkat lunak menjadi pintu masuk kerentanan

Analisis teknis SUNBURST: bagaimana aktor negara menyuntikkan backdoor ke dalam proses build SolarWinds Orion tanpa mengubah repositori kode sumber.

2020 · SolarWinds Orion · CVE-2020-10148 Embedded Malicious Code · CWE-506 · Self-propagating

Shai-Hulud: worm ekosistem npm yang menerbitkan versinya sendiri secara mandiri

Analisis teknis worm Shai-Hulud di npm: bagaimana skrip postinstall mencuri token pengembang dan menginfeksi ratusan paket secara otomatis.

September 2025 · npm registry ecosystem

Agen AI Otonom

Protection Mechanism Failure · CWE-693

Panduan Rekayasa

Panduan Penguatan

Cetak Biru Keamanan Agen AI: Sandboxing, Kontrol Alat, dan Pembatasan Egress

Panduan penerapan langkah demi langkah: mengisolasi lingkungan eksekusi agen, mematikan akses jaringan keluar kontainer, dan membangun pembatas persetujuan manusia.

Panduan referensi · Sistem agen cerdas