“CVE-2025-62725: Bagaimana Sebuah Perintah Ringan ‘Docker Compose ps’ Bisa Mengantarkan pada Kompromi Sistem”

Dalam dunia DevOps dan container orchestration, Docker Compose telah lama menjadi alat vital yang memudahkan para pengembang membangun, menjalankan, dan mengelola aplikasi multi-container hanya dengan beberapa baris YAML. Namun, penelitian keamanan terbaru dari Imperva mengungkap bahwa kemudahan itu juga menyimpan risiko besar: kerentanan path-traversal bernomor CVE‑2025‑62725 yang memungkinkan attacker melakukan penulisan berkas arbitrer ke sistem host—bahkan hanya dengan menjalankan perintah yang terlihat “aman” seperti docker compose ps.
Artikel ini akan membahas detail temuan, bagaimana eksploitasi bisa berjalan, apa dampaknya bagi organisasi, serta langkah-strategi mitigasi yang harus segera diambil.

Latar Belakang: Fitur Baru dan Permukaan Serangan

Docker Compose baru-baru ini menambahkan dukungan untuk artefak OCI (“OCI-based Compose artifacts”) yang memungkinkan pengguna menyertakan proyek Compose yang telah diterbitkan di registry OCI melalui direktif include: dalam YAML mereka.
Prosesnya: Compose akan mengambil manifest OCI dari registry, mengunduh layer-layer, lalu menyusun kembali struktur di cache lokal melalui fungsi seperti pullComposeFiles, writeComposeFile, dan writeEnvFile. Namun ternyata, kode tersebut mempercayai annotation seperti com.docker.compose.file dan com.docker.compose.envfile yang ditetapkan oleh layer OCI—tanpa normalisasi atau pemeriksaan path. Hasilnya: attacker bisa menyetel path traversal (../../…) pada annotation untuk membuat Compose menulis file ke luar direktori cache.
Yang membuat kasus ini sangat berbahaya adalah bahwa exploit bisa dipicu hanya dengan menjalankan perintah read-only seperti docker compose config atau docker compose ps. Artinya meskipun pengguna tidak memulai container, sistem tetap bisa diserang.

Bagaimana Eksploitasi Terjadi

1. Penyerang membuat registry OCI yang menampung artefak Compose dengan layer yang mengandung annotation pengarah path traversal.

2. Korban menjalankan docker compose ps atau docker compose config di direktori yang memuat docker-compose.yaml yang berisi include: yang merujuk ke registry attacker.

3. Compose mengunduh artefak, kemudian karena path dari annotation tidak tervalidasi, berkas seperti ~/.ssh/authorized_keys bisa ditulisi dengan kunci publik attacker—memberikan akses SSH langsung ke host.

4. Dengan akses ini, attacker bisa eskalasi hak, menanam malware, mengakses data, atau mengambil kontrol penuh atas sistem.

Mengapa Risiko Ini Besar

• Versi sebelum v2.40.2 rentan.

• Lingkup luas: alat ini digunakan di lokal, CI/CD, cloud dev, Docker Desktop—artinya banyak target potensial.

• Eksekusi minimal: hanya perlu menjalankan suatu perintah yang dianggap aman oleh pengguna, menjadikan aturan “hindari menjalankan container dari sumber tak terpercaya” saja tidak cukup.

• Penulisannya bisa ke lokasi kaki root atau sistem bila Compose berjalan dengan hak istimewa—berpotensi kompromi penuh sistem.

Implikasi bagi Organisasi

• Keamanan DevOps terancam: Pipeline CI/CD yang secara rutin menggunakan Docker Compose bisa jadi vektor masuk tanpa disadari.

• Perubahan paradigma proteksi: Bukan hanya container-runtime, tapi alat developer “ringan” juga harus diperhatikan.

• Kebutuhan patch & audit mendesak: Organisasi yang belum memperbarui Compose berisiko besar; audit penggunaan include remote artefak juga dibutuhkan.

• Ketenangan palsu “perintah aman” berbahaya: Pengguna yang menjalankan perintah “non-destructive” masih bisa menyebabkan kompromi.

Langkah Mitigasi dan Praktik Terbaik

• Upgrade Compose ke versi v2.40.2 atau lebih baru sesegera mungkin.

• Batasi penggunaan hanya artefak dari repository yang sah serta hindari penggunaan include: dari sumber tak diverifikasi.

• Jalankan Compose di lingkungan dengan hak minimal—hindari hak root bila memungkinkan.

• Audit YAML project Anda: cari include: remote, anotasi OCI, dan hapus atau ganti dari sumber yang terpercaya.

• Monitor aktivitas sistem host: perubahan file sensitif (misalnya authorized_keys), operasi penulisan di path luar cache.

• Terapkan prinsip least privilege, segmentasi jaringan dan isolasi lingkungan build/dev dari sistem produksi.

• Lakukan pelatihan untuk dev/ops agar sadar fitur baru Compose berpotensi risiko jika tak ditangani dengan baik.

Tabel Pendukung – Ringkasan Kerentanan & Tindakan

Kesimpulan

Kejadian CVE-2025-62725 memberikan pelajaran penting: bahkan alat yang dianggap “ringan” atau hanya untuk pengembang, seperti Docker Compose, bisa menjadi titik masuk kritis ke sistem produksi apabila fitur baru disertakan tanpa pengamanan. Karena fitur include: artefak remote membuka permukaan serangan dan path traversal memungkinkan kompromi penuh—organisasi harus mengambil langkah cepat.

Jika Anda menggunakan Docker Compose, segera tinjau versi Anda, disable penggunaan artefak remote tak diverifikasi, audit pipeline CI/CD Anda, dan pastikan monitoring serta pembatasan hak istimewa diterapkan. Kecepatan Anda dalam merespon bisa menjadi pembeda antara keamanan yang terjaga atau sistem yang terkompromi.

Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan Imperva Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman.
Hubungi kami sekarang atau kunjungi imperva.ilogoindonesia.id untuk informasi lebih lanjut!