Peringatan Ancaman

Celah keamanan kritis telah ditemukan pada library FTP client basic-ftp yang populer digunakan di Node.js. Celah ini memungkinkan server FTP jahat untuk mengelabui aplikasi agar menulis file di luar direktori unduhan yang seharusnya, yang dapat menyebabkan kompromi sistem secara total. Semua pengguna sangat disarankan untuk segera memperbarui library ini ke versi terbaru.

Detail Kerentanan:
Celah ini adalah jenis Path Traversal, yang terjadi karena penanganan nama file yang tidak aman dalam metode downloadToDir(). Saat aplikasi menggunakan metode ini untuk mengunduh direktori dari server FTP, ia menerima daftar file dari server tersebut. Server FTP yang dimodifikasi atau dikendalikan oleh penyerang dapat mengirimkan nama file yang mengandung karakter traversal seperti ../ (titik dua, garis miring).

Karena basic-ftp sebelum versi 5.2.0 tidak menyaring atau memvalidasi nama-nama file ini dengan benar, aplikasi akan tertipu untuk mengikuti urutan traversal tersebut dan menulis file ke lokasi sembarangan di filesystem sistem klien, di luar direktori tujuan unduhan yang sah.

Kerentanan ini diberi skor CVSS 9.1, yang menunjukkan tingkat keparahan yang sangat tinggi.

Versi yang Terdampak:
Semua versi library basic-ftp sebelum 5.2.0.

Dampak Serangan:
Penyerang jarak jauh yang tidak terautentikasi dapat mengeksploitasi kerentanan ini cukup dengan mengendalikan server FTP yang terhubung dengan aplikasi klien. Dampak yang mungkin terjadi meliputi:

1. Arbitrary File Writes (Penulisan File Sembarangan): Penyerang dapat membuat atau menimpa file penting sistem.
2. Remote Code Execution (Eksekusi Kode Jarak Jauh): Dengan menimpa file konfigurasi atau binari sistem, penyerang dapat mengambil alih sistem sepenuhnya.
3. Kebocoran Data: Dalam beberapa skenario, penulisan file dapat digunakan untuk mengekstrak informasi sensitif.

Rekomendasi:
Kami sangat menyarankan agar semua pengembang yang menggunakan library basic-ftp dalam aplikasi mereka untuk segera melakukan tindakan berikut:

1. Audit Dependensi: Periksa file package.json atau package-lock.json Anda untuk memastikan apakah aplikasi Anda menggunakan library basic-ftp.
2. Pembaruan Segera: Perbarui library basic-ftp ke versi 5.2.0 atau yang lebih baru. Versi ini telah memperbaiki celah keamanan Path Traversal dengan menerapkan validasi yang benar pada nama file.
3. Tinjau Risiko: Meskipun Anda menggunakan server FTP yang tepercaya, sangat penting untuk tetap menerapkan prinsip pertahanan berlapis dengan memperbarui library, karena server tersebut juga bisa menjadi korban serangan dan digunakan untuk menyebarkan malware.

Sumber Referensi:
https://securityonline.info/critical-path-traversal-flaw-in-basic-ftp-exposes-node-js-apps-to-arbitrary-file-writes/