Memahami Ancaman pada Infrastruktur Modern
Di era transformasi digital saat ini, Kubernetes telah menjadi standar emas untuk mengorkestrasi aplikasi berbasis kontainer. Fleksibilitasnya memungkinkan ratusan aplikasi berjalan di atas infrastruktur yang sama atau sering disebut sebagai model multi-tenancy.
Namun, seiring dengan meningkatnya adopsi teknologi cloud-native, batas-batas keamanan baru perlu dipahami secara mendalam. Salah satu area yang paling rentan dan sering diabaikan adalah lapisan penyimpanan atau storage.
Baru-baru ini, peneliti keamanan mengungkapkan dua celah keamanan Kubernetes yang sangat kritis. Kerentanan ini berbasis path traversal pada driver penyimpanan resmi untuk NFS (csi-driver-nfs) dan SMB (csi-driver-smb).
Terdaftar sebagai CVE-2026-3864 dan CVE-2026-3865, celah ini membuktikan satu hal penting. Hanya bermodalkan berkas konfigurasi YAML sederhana, seorang penyerang dapat melompati batasan akses, mengintip data sensitif, hingga melumpuhkan node secara permanen.
Mengapa Mitos Fungsi filepath.Join Berbahaya?
Dalam pengembangan perangkat lunak berbasis Go yang menjadi bahasa utama Kubernetes, terdapat kesalahpahaman umum mengenai fungsi filepath.Join. Banyak pengembang menganggap fungsi ini sebagai alat pembersih (sanitizer) untuk mencegah serangan path traversal.
Padahal, fungsi ini hanyalah sebuah pengurut format atau normalizer. Ia merapikan jalur direktori dengan mengubah karakter titik ganda (..) menjadi format standar. Namun, fungsi ini tidak pernah memvalidasi apakah hasil akhirnya masih berada di dalam direktori yang diizinkan.
Ketika pengelola driver CSI (Container Storage Interface) mempercayai fungsi tersebut tanpa validasi tambahan, celah pun terbuka. Penyerang dapat menyisipkan karakter .. pada parameter subDir di dalam manifes PersistentVolume (PV).
Dampak Fatal Eksploitasi Penyimpanan
Hasil dari celah keamanan Kubernetes ini sangat merusak. Ada dua dampak utama yang harus diwaspadai oleh tim infrastruktur:
- Akses Data Lintas-Tenant: Penyerang dari tim A dapat secara ilegal mengintip, mengubah, bahkan menghapus folder data milik tim B di penyimpanan bersama.
- Penghancuran Node Kubernetes: Jika pengontrol CSI memiliki akses tingkat tinggi, penyerang dapat menghapus sistem utama seperti /var/lib/kubelet. Sekali folder ini hilang, node Kubernetes tersebut akan mati permanen.
Keterbatasan Pendekatan Keamanan Tradisional
Masalah utama dari serangan cloud-native seperti ini adalah kemampuannya menembus pertahanan biasa tanpa terdeteksi sebagai aktivitas jahat. Mengapa ini bisa terjadi?
Pertama, serangan ini menggunakan izin yang sah. Penyerang memanfaatkan izin membuat PersistentVolume yang umum dipegang oleh pipeline CI/CD atau akun layanan. Mereka tidak membutuhkan kode eksploitasi rumit untuk melakukan aksinya.
Kedua, terjadi eksploitasi lintas lapisan atau cross-layer. API Server Kubernetes memperlakukan data volume sebagai hal yang buram (opaque). Sementara itu, driver penyimpanan menganggap input dari Kubernetes sudah pasti aman. Ketiadaan pemilik sah di area batas ini menjadi celah keamanan Kubernetes yang sangat berbahaya.
Perlindungan Proaktif dengan SentinelOne
Menambal driver ke versi terbaru memang langkah wajib. Namun, mengandalkan patch reaktif saja tidak cukup. Anda membutuhkan visibilitas dan perlindungan proaktif secara real-time menggunakan SentinelOne Singularity™ Cloud.
SentinelOne memahami bahwa lingkungan kontainer memerlukan pendekatan keamanan berkecepatan tinggi. Platform ini bekerja secara terintegrasi dari lapisan kode hingga ke lapisan runtime untuk memastikan keamanan kluster Anda.
Keunggulan Utama SentinelOne untuk Kubernetes
Platform ini menawarkan perlindungan komprehensif bagi ekosistem multi-tenant Anda melalui beberapa fitur canggih:
- Visibilitas Runtime Real-Time: Menggunakan eBPF-based CWPP untuk memantau proses dan interaksi sistem di tingkat kernel. Jika ada aktivitas mencurigakan, SentinelOne langsung menghentikannya secara otomatis.
- Manajemen Keamanan Cloud (CNAPP): Memindai kluster secara konstan untuk menemukan celah konfigurasi, hak akses RBAC yang terlalu luas, atau image kontainer yang rentan.
- Respons Otomatis Berbasis AI: Melalui Singularity Storyline, sistem secara otomatis memetakan alur serangan dari API request hingga dampak di host. Ini memungkinkan remediasi cepat tanpa intervensi manual yang lama.
Langkah Mitigasi untuk Infrastruktur Anda
Kerentanan CVE-2026-3864 dan CVE-2026-3865 adalah pengingat keras bahwa dunia cloud-native terus menjadi sasaran empuk. Untuk memastikan kluster tetap aman, segera terapkan langkah-langkah berikut:
- Perbarui Driver CSI: Tingkatkan csi-driver-nfs ke versi 4.13.1+ dan csi-driver-smb ke versi 1.20.1+.
- Batasi Hak Akses RBAC: Audit seluruh service account dan pipeline CI/CD. Batasi izin persistentvolumes:create hanya untuk identitas yang benar-benar memerlukan.
- Terapkan Kebijakan Validasi: Pasang ValidatingAdmissionPolicy untuk menolak manifes PV yang mengandung pola karakter mencurigakan.
Jangan menunggu sampai celah keamanan di lingkungan cloud Anda dimanfaatkan oleh pihak tidak bertanggung jawab. Lindungi infrastruktur Kubernetes Anda bersama SentinelOne hari ini.
Jadwalkan demo eksklusif SentinelOne Singularity™ Cloud untuk mendapatkan penilaian risiko lingkungan Anda secara gratis. Hubungi tim kami untuk konsultasi lebih lanjut mengenai keamanan infrastruktur IT perusahaan Anda.
Sentinelone Indonesia merupakan bagian dari PT. iLogo Infralogy Indonesia, yang bertindak sebagai partner resmi Sentinelone. Selain itu, kami juga berperan sebagai penyedia layanan (vendor) sekaligus distributor berbagai produk Infrastruktur IT dan Cybersecurity terbaik di Indonesia.
