Update Baota WAF 8.6: Tambal Celah Setengah Hati

Baota (aaPanel) baru saja merilis update v8.6 untuk ekstensi Nginx Free Firewall mereka setelah ramai dikritik soal privasi dan celah keamanan. Hasil bedah kode membuktikan dari puluhan bug yang dilaporkan, cuma satu celah minor yang tuntas diperbaiki. Celah bypass POST dan whitelist spider masih berlubang, sementara isu upload data diam-diam belum disentuh tuntas.

Mengenal Layanan & Gambaran Teknis

Baota Free Nginx Firewall adalah modul Web Application Firewall (WAF) gratisan di panel server Baota (atau aaPanel versi global) untuk menyaring serangan HTTP seperti injection dan bot. Versi 8.6 dirilis mendadak untuk merespons temuan celah keamanan dari versi 8.5 sebelumnya.

Panduan Langkah Demi Langkah

1. Langkah 1: Buka panel Baota milikmu di browser melalui port panel yang terpasang (misal domain-server:8888).
2. Langkah 2: Masuk ke menu 'App Store' atau 'Software Store' lalu cari '宝塔免费 Nginx 防火墙' (Baota Free Nginx Firewall) untuk mengecek versi aktif.
3. Langkah 3: Jika masih bergantung pada modul ini, perbarui ke versi 8.6, tetapi sangat disarankan untuk menonaktifkan atau mencopot (uninstall) modul ini demi keamanan.
4. Langkah 4: Pasang WAF alternatif mandiri yang lebih transparan dan matang, seperti open-source Coraza, ModSecurity, atau cloud proxy Cloudflare WAF.

Persyaratan & Kesiapan

• Server VPS Linux dengan panel kontrol Baota (bt.cn) atau aaPanel terpasang
• Akses akun admin panel Baota

Tips Optimalisasi

• Jangan mengandalkan WAF gratisan bawaan panel jika kamu mengelola data aplikasi sensitif.
• Gunakan validasi input ketat langsung di level source code aplikasi, jangan pasrah pada regex firewall.

Mitigasi Risiko & Keamanan

• Parameter berbahaya seperti content, msg, dan kw sengaja dilewati (whitelist) oleh WAF sehingga serangan SQLi/XSS tertentu tetap lolos.
• Risiko privasi file sistem server terunggah lewat modul bawaan panel yang belum dibersihkan.

Kesimpulan & Catatan Penting

Pembaruan v8.6 pada Baota Free Firewall terbukti hanya menambal permukaan tanpa menyelesaikan lubang keamanan mendasar. Lebih aman copot modul ini dan andalkan proteksi perimeter independen seperti Cloudflare.