Exposed .env File di Subdomain Development Portal Pemerintah Kabupaten [REDACTED]: Kebocoran…

1. Ringkasan Eksekutif (Executive Summary / TL;DR)

• Jenis Kerentanan: Sensitive Information Disclosure (Exposed Environment File)
• Vektor: Akses langsung ke file .env pada subdomain development
• Dampak: Kebocoran APP_KEY, kredensial database (DB_USERNAME, DB_PASSWORD), konfigurasi Redis, dan informasi internal aplikasi. Berpotensi menyebabkan kompromi database dan dekripsi sesi pengguna.
• Status: Fixed (Reported & Acknowledged)
• Severity: High

2. Pendahuluan (Introduction)

Halo, saya Primandito Adi Setiya, seorang bug hunter. Pada 15 November 2025, saya sedang melakukan reconnaissance dan vulnerability testing pada portal layanan publik milik Pemerintah Kabupaten [REDACTED].

Saat melakukan fuzzing direktori pada subdomain development (dev.redactedkab.go.id), saya menemukan sebuah file konfigurasi lingkungan (.env) yang dapat diakses secara publik. File ini biasanya digunakan oleh aplikasi berbasis framework Laravel untuk menyimpan berbagai kredensial rahasia.

Artikel ini akan membahas bagaimana saya menemukannya, cara mereproduksinya, hingga dampak dari kerentanan ini.

3. Detail Kerentanan (Vulnerability Details)

Aplikasi pada target tidak memiliki aturan pemblokiran pada web server untuk file-file sensitif yang diawali dengan tanda titik (dotfiles), khususnya .env. Akibatnya, ketika penyerang mengakses URL /.env, web server tidak menolak permintaan tersebut, melainkan mengembalikan isi file .env secara utuh.

File ini berisi konfigurasi aplikasi yang sangat sensitif, termasuk:

• APP_KEY (Digunakan untuk enkripsi session dan cookie)
• APP_DEBUG=true (Berpotensi membocorkan stack trace jika terjadi error)
• DB_USERNAME, DB_PASSWORD, DB_DATABASE (Kredensial database)
• REDIS_PASSWORD=null (Redis tanpa autentikasi)
• Konfigurasi internal lainnya.

4. Langkah Reproduksi (Steps to Reproduce / PoC)

Berikut adalah langkah-langkah untuk mereproduksi kerentanan ini:

Step 1: Akses File .env Buka browser dan akses path file .env pada subdomain development target: https://dev.redactedkab.go.id/.env

Step 2: Analisis Konfigurasi File .env berhasil diunduh. Buka file tersebut menggunakan text editor (seperti VS Code). Terlihat berbagai konfigurasi sensitif yang tidak seharusnya terekspos ke publik.

Beberapa informasi sensitif yang berhasil didapatkan antara lain:

• APP_KEY=[REDACTED]
• APP_DEBUG=true
• DB_DATABASE=[REDACTED]
• DB_USERNAME=[REDACTED]
• DB_PASSWORD=[REDACTED]
• REDIS_PASSWORD=null

Step 3: Verifikasi Perbaikan (Post-Fix) Setelah dilaporkan, pihak terkait merespons dengan cepat dan melakukan perbaikan. Saat ini, akses ke file .env sudah tidak dapat diakses. Verifikasi dilakukan pada 16 Oktober 2026.

5. Dampak (Impact)

Kebocoran file .env ini sangat berbahaya. Dengan informasi yang didapatkan, penyerang dapat:

1. Mengakses Database Secara Langsung: Menggunakan kredensial DB_USERNAME dan DB_PASSWORD untuk terhubung ke database, membaca, memodifikasi, atau menghapus seluruh data.
2. Dekripsi Session/Cookie (APP_KEY): Jika APP_KEY bocor, penyerang dapat mendekripsi cookie sesi yang dimiliki oleh pengguna lain, yang berujung pada Account Takeover.
3. Information Disclosure (APP_DEBUG=true): Mode debug yang aktif dapat membocorkan stack trace, path absolut, dan informasi sensitif lainnya jika terjadi error.
4. Akses Redis: REDIS_PASSWORD=null menunjukkan Redis tidak dilindungi password. Jika port Redis terekspos, penyerang dapat memanipulasi data cache/session.

6. Rekomendasi Perbaikan (Remediation)

Untuk mencegah kerentanan ini terulang, ada tiga langkah krusial yang harus dilakukan:

1. Blokir Akses ke Dotfiles: Tambahkan aturan pada konfigurasi web server (Apache/Nginx) untuk menolak semua akses ke file .env dan file sensitif lainnya.
2. Rotasi Kredensial: Segera ganti APP_KEY, DB_USERNAME, DB_PASSWORD, dan password Redis yang sudah terekspos. Perlu diingat, mengganti APP_KEY akan membuat semua sesi pengguna aktif menjadi tidak valid (logout paksa), namun ini adalah langkah wajib demi keamanan.
3. Matikan Mode Debug: Set APP_DEBUG=false pada environment produksi (dan development yang dapat diakses publik) untuk mencegah kebocoran informasi melalui error.

7. Timeline (Kronologi)

• 15 November 2025: Menemukan kerentanan dan melakukan verifikasi PoC.
• 15 November 2025: Melaporkan kerentanan ke pihak terkait.
• 15 November 2025: Pihak terkait memberikan respons dan konfirmasi atas laporan.
• Akhir 2025 — Awal 2026: Pihak terkait melakukan perbaikan (Fixed). Akses ke file .env sudah diblokir.
• 16 Oktober 2026: Melakukan pengecekan ulang (verifikasi) dan memastikan celah sudah tertutup. Writeup dipublikasikan sebagai dokumentasi portofolio.

8. Penutup

Kerentanan ini menjadi pengingat bahwa kesalahan konfigurasi pada web server bisa membocorkan seluruh rahasia aplikasi. Saya mengapresiasi respons cepat dan komunikasi yang baik dari pihak Pemerintah Kabupaten [REDACTED] dalam menindaklanjuti laporan ini.

Bagi para bug hunter, selalu pastikan untuk melakukan pengecekan terhadap file-file sensitif seperti .env, .git, atau file backup lainnya, terutama pada subdomain development yang seringkali kurang diperhatikan. Dokumentasi seperti ini penting untuk portofolio kita. Happy hunting!

Terima kasih sudah membaca. Jika ada pertanyaan, feel free to reach out.