Exposed Source Code Archive (ekinerja.zip)

Exposed Source Code Archive (ekinerja.zip) di Portal Pemerintah Kabupaten [REDACTED]: Kebocoran .env dan Hash Password Database

1. Ringkasan Eksekutif (Executive Summary / TL;DR)

• Jenis Kerentanan: Sensitive Information Disclosure (Exposed Source Code Archive)
• Vektor: Akses langsung ke file backup ekinerja.zip di web root
• Dampak: Kebocoran seluruh source code aplikasi, file .env (APP_KEY, kredensial database), dan database dump yang berisi hash password pengguna (bcrypt). Berpotensi menyebabkan Account Takeover dan kompromi database.
• Status: Silent Fixed (Diperbaiki tanpa konfirmasi/balasan dari pihak terkait)
• Severit: High

2. Pendahuluan (Introduction)

Halo, saya Primandito Adi Setiya, seorang bug hunter. Pada 14 November 2025, saya sedang melakukan reconnaissance dan vulnerability testing pada portal layanan publik milik Pemerintah Kabupaten [REDACTED].

Saat melakukan fuzzing direktori, saya menemukan sebuah file arsip ekinerja.zip yang dapat diakses secara publik. File ini ternyata berisi source code lengkap aplikasi, termasuk file konfigurasi .env dan database dump yang sangat sensitif.

Artikel ini akan membahas bagaimana saya menemukannya, apa saja yang terekspos, hingga dampak dari kerentanan ini.

3. Detail Kerentanan (Vulnerability Details)

Aplikasi pada target tidak memblokir akses ke file backup ekinerja.zip yang terletak di direktori web root. Akibatnya, siapa pun dapat mengunduh file tersebut. Setelah diekstrak, ditemukan:

• File .env: Berisi APP_KEY, kredensial database (DB_USERNAME, DB_PASSWORD), dan konfigurasi internal lainnya.
• Database Dump (kinerja.sql): Berisi data pengguna, termasuk hash password (bcrypt) dari akun admin dan staf.

4. Langkah Reproduksi (Steps to Reproduce / PoC)

Berikut adalah langkah-langkah untuk mereproduksi kerentanan ini:

Step 1: Akses File Backup Buka browser dan akses path file tersebut pada target: https://ekinerja.redactedkab.go.id/ekinerja.zip Browser akan secara otomatis mengunduh file ekinerja.zip.

Step 2: Ekstraksi dan Analisis .env Ekstrak file zip. Buka file .env menggunakan text editor. Terlihat APP_KEY dan kredensial database yang tidak disensor (di sini saya sudah menyensornya).

Step 3: Analisis Database Dump Buka file database/kinerja.sql. Di dalamnya terdapat perintah INSERT INTO users yang menyertakan hash password (bcrypt) untuk banyak pengguna, termasuk admin.

Step 4: Verifikasi Perbaikan (Post-Fix) Setelah dilaporkan, pihak terkait tampaknya melakukan perbaikan secara diam-diam. Saat ini, akses ke file ekinerja.zip sudah tidak ditemukan (404 Not Found). Verifikasi dilakukan pada 16 Oktober 2026.

5. Dampak (Impact)

Kebocoran ini sangat fatal. Dengan informasi yang didapatkan, penyerang dapat:

1. Kompromi Database: Menggunakan kredensial dari .env untuk terhubung langsung ke database, membaca, memodifikasi, atau menghapus seluruh data.
2. Cracking Password: Hash password yang bocor dapat dipecahkan (cracking) menggunakan alat seperti Hashcat. Jika berhasil, penyerang bisa masuk ke akun pengguna, termasuk admin.
3. Dekripsi Session/Cookie (APP_KEY): Jika APP_KEY bocor, penyerang dapat mendekripsi cookie sesi pengguna lain, yang berujung pada Account Takeover.
4. Information Disclosure: Source code dapat dianalisis lebih lanjut untuk menemukan celah keamanan lain (SQL Injection, RCE, dll).

6. Rekomendasi Perbaikan (Remediation)

Untuk mencegah kerentanan ini terulang, ada tiga langkah krusial yang harus dilakukan:

1. Hapus File Backup dari Web Root: Jangan pernah menyimpan file arsip (.zip, .tar.gz, .sql) di dalam direktori yang dapat diakses publik.
2. Blokir Akses ke File Sensitif: Tambahkan aturan pada web server untuk menolak akses ke file .env, .sql, .zip, dan file backup lainnya.
3. Rotasi Kredensial: Karena kredensial database dan APP_KEY sudah terekspos, segera ganti (rotate) semuanya. Ganti juga password pengguna yang hash-nya bocor.

7. Timeline (Kronologi)

• 14 November 2025: Menemukan kerentanan dan melakukan verifikasi PoC.
• 14 November 2025: Melaporkan kerentanan ke pihak terkait.
• [Hingga 16 Oktober 2026]: Tidak ada balasan atau konfirmasi dari pihak terkait.
• 16 Oktober 2026: Melakukan pengecekan ulang, file ekinerja.zip sudah tidak dapat diakses. Writeup dipublikasikan sebagai dokumentasi portofolio.

8. Penutup

Kerentanan ini menjadi pengingat bahwa kesalahan konfigurasi sekecil apa pun (seperti lupa menghapus file backup) bisa berdampak sangat besar. Meskipun laporan ini tidak mendapatkan balasan resmi dan diperbaiki secara diam-diam (silent fix), saya tetap mengapresiasi upaya pihak terkait yang telah menutup celah ini.

Bagi para bug hunter, silent fix adalah hal yang lumrah. Yang terpenting adalah kerentanan sudah tidak bisa dieksploitasi lagi. Dokumentasi seperti ini tetap penting untuk portofolio kita. Happy hunting!

Terima kasih sudah membaca. Jika ada pertanyaan, feel free to reach out.