Ringkasan

Pekan ini banjir advisory: OpenSSH punya bug login tanpa password yang sudah dieksploitasi dalam hitungan jam setelah diumumkan, plugin WordPress InfiniteWP Client ternyata menyimpan kunci signing yang bisa direcover offline dalam hitungan menit, dan Apache merilis tiga CVE sekaligus untuk Axis2/Java plus satu untuk Allura. Yang paling mendesak dicek duluan: server Linux OpenSSH dengan musl + PAM nonaktif, situs WordPress yang pakai InfiniteWP Client dalam mode NOSSL, dan instalasi Tryton — ketiganya punya jalur eksploitasi yang sudah terbukti jalan.

1. OpenSSH "SSHole" — login tanpa password, sudah dieksploitasi aktif

Terdampak: sistem Linux yang menjalankan OpenSSH di atas musl C library dengan Pluggable Authentication Modules (PAM) dinonaktifkan. CVE: CVE-2026-123158 (CVSS 8.1), dijuluki SSHole (*sshole). Dampak: memungkinkan sign-in ke akun yang tidak punya password sama sekali. Menurut Previdian, penyerang sudah mencoba eksploitasi ini dalam hitungan jam setelah disclosure dan berhasil mendapatkan root di honeypot. Tindakan sekarang: cek apakah sistem Anda memakai kombinasi musl + PAM disabled, lalu segera terapkan patch resmi dari distro/OpenSSH begitu tersedia. The Hacker News

2. InfiniteWP Client — kunci signing NOSSL cuma punya 31 bit secret

Terdampak: InfiniteWP Client 1.13.10, plugin manajemen WordPress dengan sekitar 200.000 instalasi, pada site yang terdaftar lewat mode autentikasi NOSSL (bukan jalur RSA). Dampak: kunci signing NOSSL dibentuk dari md5(base64_encode(panel_public_key) . rand(0, getrandmax())) — secretnya cuma satu hasil rand(), maksimum 2^31 kemungkinan. Peneliti (knell) membuktikan kunci bisa direcover offline hanya dalam 291,9 detik dari satu request get_stats yang ditangkap, lalu dipakai memalsukan command maintain_site yang diterima server dan menulis opsi database baru. Kunci ini tidak pernah dirotasi, jadi sekali direcover bisa dipakai memalsukan request selamanya. Tindakan sekarang: artikel tidak menyebut versi perbaikan resmi, jadi periksa apakah site Anda terdaftar dalam mode NOSSL dan pantau advisory vendor untuk patch; porsi instalasi yang memakai NOSSL dari total ~200.000 tidak diketahui secara eksternal. oss-security mailing list

3. Apache Allura — OAuth1 rebinding (critical)

Terdampak: Apache Allura hingga versi 1.22.0. CVE: CVE-2026-118196, severity critical. Dampak: vulnerability OAuth1 rebinding; advisory tidak menjelaskan detail skenario eksploitasinya. Tindakan sekarang: upgrade ke Apache Allura 1.22.1. oss-security mailing list

4. Tryton (trytond) — wizard tanpa restriksi model/group

Terdampak: trytond seri 8.2 (<= 8.2.1), 8.0 (<= 8.0.12), 7.8 (<= 7.8.18), 7.0 (<= 7.0.59). CVSS: 8.1 (Network, Low complexity, Low privileges required, no user interaction, confidentiality High, integrity High). Dampak: tidak ada restriksi untuk menjalankan wizard tanpa model atau group apapun. Tindakan sekarang: upgrade trytond ke versi yang sudah fix (8.2.2 / 8.0.13 / 7.8.19 / 7.0.60) dan pastikan tidak ada user tak diinginkan yang sempat terbuat. Sebagai workaround tambahan, tambahkan minimal satu group ke wizard yang terdaftar via Administration / User Interface / Actions / Wizards — ini juga harus dilakukan ulang setelah update. Tryton News

5. CPython — regresi enforcement FIPS pada hash algorithms

Terdampak: hanya Python 3.14.10. CVE: CVE-2026-119170, severity HIGH. Dampak: regresi pada enforcement FIPS untuk hash algorithms; detail skenario tidak dijabarkan dalam forward advisory ini. Tindakan sekarang: cek CVE record dan PR cpython/pull/160984 untuk versi terdampak/perbaikan terbaru sebelum menjalankan 3.14.10 di lingkungan yang mewajibkan FIPS. oss-security mailing list

6. Apache Axis2/Java — XXE lewat WSDL/XSD import

Terdampak: Apache Axis2/Java sebelum 2.0.2. CVE: CVE-2026-120761, severity important. Dampak: saat client membangun AxisService dari WSDL URL lewat ServiceClient atau AxisService.createClientSideAxisService, resolusi import wsdl4j memproses dokumen wsdl:import/xsd:import dengan parser yang menerima DOCTYPE dan external entity — penyerang yang mengontrol WSDL atau dokumen yang diimpornya bisa membaca file lokal atau memaksa JVM membuat request network. Tindakan sekarang: upgrade ke Apache Axis2/Java 2.0.2. oss-security mailing list

7. Apache Axis2/Java — SSRF via WS-Addressing ReplyTo/FaultTo

Terdampak: Apache Axis2/Java sebelum 2.0.2. CVE: CVE-2026-123753, severity important. Dampak: caller yang tidak terautentikasi bisa mengisi wsa:ReplyTo atau wsa:FaultTo non-anonymous, membuat Axis2 membuka koneksi ke alamat tersebut untuk mengirim response/fault — bisa menjangkau host internal dan mengirim isi response ke host pilihan penyerang. Tindakan sekarang: upgrade ke 2.0.2 — mulai versi ini, decoupled response ditolak kecuali allowNonAnonymousResponseEndpoints diaktifkan, dan endpoint yang diizinkan dibatasi scheme-nya serta diperiksa di layer header-parsing dan transport-selection. oss-security mailing list

8. Apache Axis2/Java — SSRF via resolusi import WSDL/XSD schema

Terdampak: Apache Axis2/Java sebelum 2.0.2. CVE: CVE-2026-120832, severity moderate. Dampak: saat Axis2 membangun service description dari WSDL lewat ServiceClient, AxisService.createClientSideAxisService, atau WSDLToAxisServiceBuilder, absolute URL di wsdl:import dan schemaLocation pada xsd:import/xsd:include diambil tanpa restriksi scheme atau host — termasuk lewat resolver deployment AAR dan WAR — sehingga JVM bisa dipaksa mengirim request ke host arbitrary, internal maupun eksternal. Tindakan sekarang: upgrade ke Apache Axis2/Java 2.0.2. oss-security mailing list

Checklist

  • [ ] Cek server Linux yang menjalankan OpenSSH di atas musl + PAM disabled, pantau patch untuk CVE-2026-123158
  • [ ] Cek apakah situs WordPress memakai InfiniteWP Client dalam mode NOSSL, pantau advisory vendor
  • [ ] Upgrade Apache Allura ke 1.22.1 (CVE-2026-118196)
  • [ ] Upgrade trytond ke versi fix sesuai seri (8.2.2 / 8.0.13 / 7.8.19 / 7.0.60), audit user baru, dan set group pada wizard terkait issue 15205
  • [ ] Review penggunaan Python 3.14.10 di lingkungan FIPS, cek CVE-2026-119170 untuk versi fix
  • [ ] Upgrade Apache Axis2/Java ke 2.0.2 untuk menutup CVE-2026-120761, CVE-2026-123753, dan CVE-2026-120832 sekaligus

---

Sumber yang dirangkum:

Baca juga