CVE dan RCE pada OJS: Risiko Keamanan Open Journal Systems dan Cara Mengatasinya
Open Journal Systems (OJS) merupakan salah satu platform yang banyak digunakan oleh universitas, lembaga penelitian, penerbit akademik, dan pengelola jurnal ilmiah untuk mengelola publikasi secara online.
Karena menyimpan berbagai informasi penting seperti akun pengguna, naskah penelitian, data penulis, serta dokumen editorial, keamanan OJS menjadi hal yang tidak boleh diabaikan.
Salah satu ancaman yang perlu diperhatikan adalah kerentanan keamanan yang tercatat sebagai CVE (Common Vulnerabilities and Exposures), terutama kerentanan yang berpotensi menyebabkan Remote Code Execution (RCE).
Jika tidak ditangani dengan baik, kerentanan RCE dapat memberikan peluang kepada penyerang untuk menjalankan perintah atau kode pada sistem yang terdampak.
Lalu, apa sebenarnya CVE dan RCE pada OJS? Bagaimana cara mengetahui apakah instalasi OJS memiliki risiko keamanan? Dan langkah apa yang perlu dilakukan administrator untuk melindungi website jurnal?
Mari kita bahas.
1. Mengenal Open Journal Systems (OJS)
Open Journal Systems atau OJS adalah perangkat lunak open-source yang dikembangkan oleh Public Knowledge Project (PKP).
Platform ini dirancang untuk membantu proses penerbitan jurnal ilmiah, mulai dari pengiriman artikel, proses editorial, peer review, hingga publikasi.
Beberapa fitur utama OJS meliputi:
Manajemen akun penulis, editor, dan reviewer.
Pengelolaan naskah penelitian.
Sistem editorial dan peer review.
Pengaturan edisi dan publikasi jurnal.
Pengelolaan metadata artikel.
Integrasi dengan berbagai layanan akademik.
Karena OJS dapat diakses melalui internet dan melibatkan banyak pengguna, platform ini membutuhkan pemeliharaan keamanan secara berkala.
2. Apa Itu CVE dalam Keamanan OJS?
CVE merupakan singkatan dari Common Vulnerabilities and Exposures.
CVE adalah sistem identifikasi publik untuk kerentanan keamanan yang telah didaftarkan. Setiap entri CVE memiliki identitas unik sehingga administrator, peneliti keamanan, dan pengembang dapat merujuk pada kerentanan yang sama.
Dalam konteks OJS, informasi CVE dapat membantu administrator mengetahui apakah versi perangkat lunak yang digunakan memiliki kerentanan yang sudah diketahui.
Informasi yang biasanya tersedia dalam sebuah entri CVE antara lain:
ID CVE.
Deskripsi kerentanan.
Produk atau komponen yang terdampak.
Versi perangkat lunak yang terpengaruh.
Tingkat keparahan jika tersedia.
Referensi dan informasi perbaikan.
Penting untuk dipahami bahwa tidak semua CVE pada OJS memiliki dampak yang sama. Ada kerentanan yang hanya memengaruhi kerahasiaan informasi, ada yang berkaitan dengan akses pengguna, dan ada pula yang berpotensi menimbulkan eksekusi kode.
Karena itu, administrator tidak boleh menyimpulkan bahwa seluruh instalasi OJS rentan hanya berdasarkan keberadaan sebuah laporan CVE.
3. Apa Itu Remote Code Execution (RCE)?
Remote Code Execution atau RCE merupakan jenis kerentanan keamanan yang memungkinkan pihak tidak berwenang menjalankan kode pada sistem dari jarak jauh melalui kondisi tertentu.
RCE termasuk kategori kerentanan yang serius karena dampaknya dapat melampaui satu halaman website.
Dalam kondisi tertentu, eksploitasi RCE dapat berpotensi menyebabkan:
Akses tidak sah terhadap server.
Perubahan file aplikasi.
Pencurian informasi yang dapat diakses oleh proses aplikasi.
Gangguan terhadap layanan jurnal.
Penyalahgunaan sumber daya server.
Kompromi terhadap sistem lain yang memiliki hubungan dengan server tersebut.
Dampak sebenarnya bergantung pada jenis kerentanan, konfigurasi aplikasi, hak akses proses web server, dan lingkungan hosting.
Sebagai contoh, jika aplikasi OJS berjalan dengan hak akses yang terlalu luas, dampak dari kompromi aplikasi dapat menjadi lebih besar.
4. Mengapa OJS Bisa Mengalami Risiko RCE?
Seperti perangkat lunak berbasis web lainnya, OJS memiliki komponen aplikasi, plugin, mekanisme upload, konfigurasi server, serta integrasi dengan berbagai layanan.
Risiko keamanan dapat muncul dari beberapa area berikut.
A. Versi OJS yang Tidak Diperbarui
Menggunakan versi aplikasi yang sudah lama dapat menyebabkan instalasi tidak memperoleh perbaikan keamanan terbaru.
Jika terdapat kerentanan yang sudah diketahui dan versi tersebut masih terdampak, website dapat memiliki risiko yang lebih tinggi.
B. Plugin yang Tidak Terawat
Plugin memberikan kemampuan tambahan pada OJS. Namun, plugin yang sudah tidak mendapatkan pemeliharaan dapat menjadi sumber risiko keamanan.
Administrator perlu mengevaluasi plugin yang digunakan dan memastikan kompatibilitas serta sumber pengembangannya.
C. Konfigurasi Upload File
Fitur upload merupakan bagian penting dalam sistem jurnal karena penulis perlu mengirimkan naskah dan dokumen pendukung.
Konfigurasi upload yang tidak aman dapat meningkatkan risiko penyalahgunaan file.
Pengelola perlu memastikan validasi file dilakukan dengan benar, direktori penyimpanan tidak memberikan izin eksekusi yang tidak diperlukan, dan file tidak dapat diakses secara sembarangan.
D. Konfigurasi Server yang Lemah
Keamanan OJS juga bergantung pada konfigurasi server.
Beberapa contoh konfigurasi yang perlu diperiksa:
Hak akses direktori dan file.
Versi PHP yang digunakan.
Konfigurasi web server.
Perlindungan direktori konfigurasi.
Pengaturan database.
Pembatasan akses administratif.
Keamanan aplikasi tidak dapat dipisahkan dari keamanan lingkungan hosting.
5. Bagaimana Cara Mengetahui Apakah OJS Rentan?
Administrator sebaiknya melakukan pemeriksaan keamanan secara terstruktur dan hanya pada instalasi yang dimiliki atau memiliki izin pengujian.
Berikut beberapa langkah yang dapat dilakukan.
Langkah 1: Identifikasi Versi OJS
Catat versi OJS yang sedang digunakan melalui panel administrasi atau dokumentasi instalasi.
Jangan hanya mengandalkan informasi versi dari halaman publik karena informasi tersebut dapat disembunyikan atau tidak selalu mencerminkan kondisi aktual.
Langkah 2: Periksa Database CVE
Gunakan sumber informasi keamanan yang terpercaya:
CVE Program: https://www.cve.org/
NIST National Vulnerability Database: https://nvd.nist.gov/
Dokumentasi resmi PKP: https://pkp.sfu.ca/
Dokumentasi keamanan OJS dan pengumuman pembaruan dari PKP.
Cari berdasarkan nama produk, versi, dan komponen yang digunakan.
Pastikan informasi kerentanan benar-benar menyebutkan versi yang terdampak.
Langkah 3: Audit Plugin
Buat daftar seluruh plugin yang aktif.
Periksa apakah plugin masih dipelihara, berasal dari sumber tepercaya, dan kompatibel dengan versi OJS yang digunakan.
Nonaktifkan plugin yang tidak diperlukan setelah mempertimbangkan dampaknya terhadap operasional jurnal.
Langkah 4: Periksa Log Server
Log aplikasi dan web server dapat membantu administrator menemukan aktivitas yang tidak biasa.
Beberapa indikator yang perlu diperhatikan:
Percobaan login berulang.
Permintaan HTTP yang tidak wajar.
Perubahan file tanpa aktivitas administrator.
Error aplikasi yang muncul secara tidak normal.
Aktivitas akun administratif yang tidak dikenal.
Satu indikator saja tidak selalu membuktikan adanya serangan. Lakukan korelasi dengan waktu kejadian, log autentikasi, dan perubahan sistem.
6. Cara Melindungi OJS dari Ancaman RCE
Melindungi OJS membutuhkan kombinasi pembaruan aplikasi, konfigurasi server, pengelolaan akses, dan pemantauan.
Berikut langkah yang direkomendasikan.
A. Perbarui OJS ke Versi yang Didukung
Periksa pengumuman resmi PKP dan gunakan versi yang masih mendapatkan dukungan.
Sebelum melakukan upgrade:
Buat backup database.
Backup seluruh file aplikasi dan dokumen jurnal.
Periksa kompatibilitas PHP dan database.
Uji proses upgrade pada lingkungan staging jika tersedia.
Periksa kembali fungsi editorial dan publikasi setelah pembaruan.
Jangan melakukan upgrade langsung pada website produksi tanpa memiliki backup yang dapat dipulihkan.
B. Batasi Hak Akses File
Terapkan prinsip least privilege.
Artinya, setiap pengguna dan proses hanya diberikan hak akses yang benar-benar dibutuhkan.
Hindari memberikan permission terlalu luas seperti 777 pada seluruh direktori aplikasi.
Perhatikan juga direktori penyimpanan file jurnal agar tidak dapat digunakan untuk menjalankan skrip yang tidak diizinkan.
C. Amankan File Konfigurasi
File konfigurasi OJS dapat berisi informasi penting seperti pengaturan database dan parameter sistem.
Pastikan file tersebut tidak dapat diunduh secara langsung melalui browser.
Jangan menyimpan kredensial database dalam repository publik atau membagikannya melalui forum dan tiket dukungan.
D. Gunakan HTTPS
Pastikan website jurnal menggunakan HTTPS dengan sertifikat TLS yang valid.
HTTPS membantu melindungi komunikasi antara browser pengguna dan server dari penyadapan selama transmisi.
E. Aktifkan Backup Berkala
Backup sangat penting untuk menghadapi kerusakan sistem, kesalahan pembaruan, maupun insiden keamanan.
Simpan backup database dan file jurnal secara terpisah serta lakukan pengujian pemulihan secara berkala.
Backup yang tidak pernah diuji belum tentu dapat dipulihkan ketika dibutuhkan.
F. Pantau Aktivitas Website
Lakukan pemantauan secara rutin terhadap:
Login administrator.
Perubahan file aplikasi.
Aktivitas upload.
Error PHP.
Penggunaan resource server.
Permintaan HTTP yang mencurigakan.
Jika tersedia, gunakan Web Application Firewall (WAF) sebagai salah satu lapisan perlindungan tambahan.
7. Apa yang Harus Dilakukan Jika OJS Diduga Terkena RCE?
Jika administrator menemukan indikasi kompromi, jangan langsung menghapus semua file yang dianggap mencurigakan karena tindakan tersebut dapat menghilangkan bukti penting.
Lakukan langkah berikut:
Dokumentasikan waktu dan indikator insiden.
Batasi akses sistem yang terdampak sesuai prosedur respons insiden.
Simpan salinan log dan bukti yang relevan.
Periksa perubahan file aplikasi dan akun pengguna.
Evaluasi apakah kredensial server atau database perlu dirotasi.
Identifikasi sumber kerentanan.
Terapkan patch atau perbaikan dari sumber resmi.
Pulihkan sistem dari backup yang diketahui bersih jika diperlukan.
Lakukan pemantauan lebih ketat setelah pemulihan.
Jika server menyimpan banyak jurnal atau data sensitif, pertimbangkan bantuan tenaga keamanan siber yang berpengalaman.
8. Pentingnya Security Audit untuk Website OJS
Security audit merupakan proses evaluasi untuk mengetahui apakah suatu sistem memiliki kelemahan konfigurasi, kesalahan pengelolaan akses, komponen usang, atau risiko keamanan lainnya.
Untuk instalasi OJS, audit dapat mencakup:
Identifikasi versi aplikasi.
Pemeriksaan konfigurasi server.
Pemeriksaan plugin dan dependensi.
Evaluasi pengaturan upload.
Pemeriksaan hak akses file.
Evaluasi keamanan autentikasi.
Pemeriksaan log dan perubahan file.
Peninjauan informasi CVE yang relevan.
Audit sebaiknya dilakukan dengan izin tertulis dan ruang lingkup yang jelas.
Jangan melakukan pengujian eksploitasi terhadap website jurnal pihak lain tanpa persetujuan pemilik sistem.
9. Sumber Informasi untuk Memantau Kerentanan OJS
Administrator dapat menggunakan beberapa referensi berikut untuk mengikuti perkembangan keamanan:
CVE Program
https://www.cve.org/
Digunakan untuk mencari identitas dan deskripsi kerentanan yang telah terdaftar.
NIST National Vulnerability Database
https://nvd.nist.gov/
Menyediakan informasi tambahan mengenai kerentanan, referensi, dan penilaian keparahan jika tersedia.
Public Knowledge Project (PKP)
https://pkp.sfu.ca/
Merupakan sumber utama informasi mengenai pengembangan dan pembaruan OJS.
PKP Community Forum
https://forum.pkp.sfu.ca/
Dapat digunakan untuk mengikuti diskusi teknis dan mendapatkan informasi dari komunitas pengguna serta pengembang OJS.
Selalu cocokkan informasi dari sumber komunitas dengan pengumuman resmi dan versi perangkat lunak yang benar-benar digunakan.
Kesimpulan
CVE dan RCE merupakan dua istilah penting dalam keamanan aplikasi web, termasuk Open Journal Systems.
Kerentanan yang berpotensi menyebabkan Remote Code Execution perlu mendapatkan perhatian serius karena dapat memberikan dampak terhadap aplikasi, data jurnal, dan lingkungan server.
Administrator OJS sebaiknya tidak menunggu sampai terjadi insiden. Lakukan pembaruan berkala, audit plugin, pengamanan konfigurasi server, pembatasan hak akses, backup, serta pemantauan log.
Keamanan website jurnal bukan hanya tanggung jawab pengembang aplikasi, tetapi juga bagian penting dari pengelolaan sistem publikasi ilmiah.
Butuh Audit Keamanan Website?
Website yang aman membutuhkan pemeriksaan teknis secara berkala, bukan hanya tampilan yang profesional.
RankGuard membantu pemilik website memahami kondisi SEO, struktur teknis, dan kebutuhan optimasi website agar fondasi digital bisnis semakin baik.
Jika Anda mengelola website jurnal atau platform publikasi online, pastikan aspek keamanan dan performa website mendapatkan perhatian yang seimbang.
Kunjungi RankGuard untuk mempelajari lebih lanjut tentang optimasi dan pengelolaan kualitas website.
Website: https://rankguard.id/