Hakai: Celah 0-Day Generator PDF Masif

Tim riset Hakai Security ngebongkar rentetan celah keamanan zero-day pada sistem generator PDF yang memproses hingga 90 juta dokumen per bulan. Konversi HTML ke PDF di backend sering kali pakai browser tanpa isolasi ketat, bikin penyerang bisa curi file server sampai eksekusi kode jahat. Buat pengembang web yang punya fitur ekspor PDF atau cetak invoice, riset ini wajib dipelajari biar gak kecolongan. Gua saranin segera audit library konversi dokumen di aplikasi lu.

Mengenal Layanan & Gambaran Teknis

Generator PDF adalah fitur otomatis di website yang ngubah format halaman web atau kode HTML jadi file PDF, contohnya pas download tiket atau invoice. Mesin di balik layar biasanya jalanin browser mini (headless browser); kalau setelannya longgar, hacker bisa selipin skrip jahat buat intip sistem dalam server (SSRF atau Local File Inclusion).

Panduan Langkah Demi Langkah

1. Langkah 1 — Buka artikel teknis lengkapnya di domain yokai.hakaisecurity.io lewat link resmi yang dibagikan.
2. Langkah 2 — Cek apakah aplikasi web kamu pakai library renderer PDF berbasis browser seperti Puppeteer, Chromium headless, wkhtmltopdf, atau WeasyPrint.
3. Langkah 3 — Nonaktifkan eksekusi JavaScript (`disable-javascript`) pada konfigurasi engine headless browser jika PDF hanya butuh cetak teks statis.
4. Langkah 4 — Blokir akses protokol file lokal (`file:///`) dan batasi permintaan jaringan keluar (egress filtering) agar server tidak bisa menghubungi IP internal (metadata AWS, 127.0.0.1).
5. Langkah 5 — Isolasi proses rendering dokumen ke dalam sandbox atau kontainer terpisah (seperti Docker non-root) dengan hak akses sangat terbatas.

Persyaratan & Kesiapan

• Paham dasar arsitektur web backend dan security (SSRF, LFI, headless browser)
• Akses server atau repository kode proyek yang memakai fungsi render PDF

Tips Optimalisasi

• Umpan data input HTML dari pengguna harus disaring ketat sebelum dilempar ke engine PDF.
• Pakai library parser teks murni kalau cuma butuh cetak invoice simpel, hindari headless browser penuh kalau tidak butuh CSS rumit.

Mitigasi Risiko & Keamanan

• Pencurian file sensitif di server (seperti file /etc/passwd atau credential environment) lewat injeksi iframe atau file tag
• Serangan SSRF yang membocorkan metadata cloud instance jika jaringan keluar tidak dibatasi

Kesimpulan & Catatan Penting

Eksploitasi fitur cetak PDF masih jadi titik lemah fatal bagi banyak startup dan platform besar. Langsung cek konfigurasi parser dokumen di aplikasi kamu sebelum kebobolan.