Peringatan Ancaman

Telah ditemukan kerentanan keamanan dengan kode CVE-2026-39860 dengan tingkat keparahan tinggi (CVSS 9.0) pada Nix Package Manager, yaitu alat manajemen paket yang digunakan pada sistem Linux dan Unix. Kerentanan ini memungkinkan terjadinya sandbox escape akibat kelemahan dalam mekanisme registrasi output dari fixed-output derivations (FODs).

Eksploitasi dilakukan dengan membuat symbolic link berbahaya yang mengarah ke file sensitif pada sistem. Ketika proses Nix berjalan (dengan hak akses root), sistem akan mengikuti symlink tersebut dan menimpa file target dengan konten berbahaya yang dikendalikan penyerang.

Dimana letak masalahnya?

Kerentanan terletak pada mekanisme validasi output build (fixed-output derivations) yang tidak memverifikasi dengan aman keberadaan symbolic link, sehingga memungkinkan penulisan file arbitrer oleh proses dengan hak akses tinggi (root).

Dampak bagi Aplikasi dan Pengguna

• Eskalasi hak akses menjadi root.
• Penimpaan file sistem sensitif (misalnya /etc/shadow atau binary sistem).
• Kompromi integritas dan keamanan sistem.
• Potensi pengambilalihan penuh sistem oleh penyerang.
• Risiko tinggi pada lingkungan multi-user yang mengizinkan pengguna melakukan build.

Versi yang Terdampak dan Perbaikan

Versi terdampak:

• Nix versi 2.28 hingga 2.34

Versi perbaikan:

• 2.28.6
• 2.29.3
• 2.30.4
• 2.31.4
• 2.32.7
• 2.33.4
• 2.34.5

Rekomendasi untuk Developer dan Tim Security

1. Segera lakukan pembaruan (upgrade) Nix ke versi yang telah diperbaiki.
2. Batasi akses pengguna terhadap proses build pada Nix daemon, khususnya pada sistem multi-user.
3. Terapkan validasi tambahan terhadap output build dan penggunaan symbolic link.
4. Lakukan audit keamanan terhadap file sistem kritikal secara berkala.
5. Terapkan prinsip least privilege untuk meminimalkan dampak jika terjadi eksploitasi.
6. Monitor aktivitas build yang mencurigakan pada lingkungan produksi.

Penutup

Kerentanan ini memiliki tingkat risiko tinggi karena memungkinkan penyerang memperoleh hak akses root dan mengendalikan sistem secara penuh. Diperlukan tindakan mitigasi segera melalui pembaruan sistem dan penguatan kontrol keamanan, terutama pada lingkungan yang menggunakan Nix secara multi-user.

Sumber Referensi:

• https://securityonline.info/nix-package-manager-sandbox-escape-cve-2026-39860/