Experience on Riyan Firmansyah

Akhirnya Temuan Celah Keamanan Pertama Saya Resmi Terdokumentasikan

Sat, 30 May 2026 14:30:00 +0700

Asik mengobrol di platform Discord bersama teman-teman membahas terkait dengan CVE, saya teringat dulu saya pernah submit juga, akhirnya saya iseng coba mencari kabar terbaru dari hasil submit saya yang saya kirimkan beberapa tahun yang lalu dan benar saja akhirnya sudah resmi terdokumentasikan di CVE.org alias sudah resmi dipublikasikan. Ini adalah momen yang cukup spesial untuk saya karena ini adalah temuan keamanan pertama saya yang secara resmi terdaftar sebagai CVE (Common Vulnerabilities and Exposures).

Cerita Awalnya

Jauh hari sebelumnya, sekitar tahun 2023, ketika saya sedang melakukan research tentang cloud management protocol (CWMP) dan device management yang menggunakan komunikasi CWMP, saya menemukan sesuatu yang menarik pada salah satu device wireless router dari vendor Ruijie Reyee. Device ini memiliki fitur cloud controller yang memungkinkan administrator untuk mengelola device secara remote melalui komunikasi CWMP.

Setelah melakukan analisis lebih mendalam, saya menemukan bahwa komunikasi CWMP yang digunakan tidak memiliki proteksi yang cukup terhadap serangan man-in-the-middle (MITM). Ini berarti bahwa seseorang yang berada di posisi yang tepat di network bisa mengintersepsi dan memanipulasi komunikasi antara device dan cloud controller, yang pada akhirnya bisa memungkinkan arbitrary code execution pada device.

Proses Responsible Disclosure

Setelah menemukan vulnerability ini, saya tidak langsung publikasikan temuan saya. Sebaliknya, saya mengikuti proses responsible disclosure yang sangat umum untuk dilakukan, saya menghubungi tim keamanan Ruijie untuk melaporkan temuan saya, memberikan mereka waktu yang cukup untuk membuat patch sebelum saya publish findings secara publik.

Namun, sayangnya tim keamanan Ruijie tidak memberikan respon lanjutan yang signifikan setelah laporan awal saya. Mengingat severity dari vulnerability ini yang bisa mengizinkan arbitrary code execution pada device mereka, dan mengingat bahwa saya ingin masyarakat luas terutama tim IT menjadi lebih aware terhadap risiko ini, saya memutuskan untuk mengambil inisiatif sendiri melakukan disclosure.

Keputusan ini diambil dengan pertimbangan:

Kesadaran publik: penting bagi tim IT dan security profesional untuk mengetahui vulnerability ini agar bisa melakukan mitigasi
Severity tinggi:vulnerability yang memungkinkan RCE (Remote Code Execution) memiliki impact yang signifikan
Lack of response: tanpa respon dari vendor, saya merasa perlu untuk disclosure agar komunitas bisa terlindungi
Responsible approach: tetap mengikuti etika security research dengan publikasi yang detail namun tidak membuat exploit trivial

Akhirnya Terdokumentasikan

Pada tanggal 15 Desember 2025, CVE-2023-53881 akhirnya dipublikasikan secara resmi. Vulnerability ini didokumentasikan dengan deskripsi:

Man-in-the-Middle Remote Code Execution via CWMP in ReyeeOS

ReyeeOS contains an unprotected CWMP (CPE WAN Management Protocol) communication that allows attackers to intercept and manipulate device communication through a man-in-the-middle attack, enabling arbitrary command execution on Ruijie Reyee devices.

Dokumentasi teknis lebih lengkap bisa dilihat di Website Research Seclab

Apa yang Saya Pelajari

Dari pengalaman ini, ada beberapa hal yang saya pelajari:

1. Responsible Disclosure Itu Penting

Meskipun terasa lambat, proses responsible disclosure menurut saya adalah cara yang benar untuk melaporkan vulnerability. Ini memberikan pengguna atau vendor waktu untuk mitigasi sebelum dimanfaatkan dengan sangat luas.

2. Kesabaran Adalah Kunci

Proses dari menemukan vulnerability sampai CVE dipublikasikan bisa memakan waktu yang cukup lama dan dalam kasus saya ini hampir 2 tahun. Ini membutuhkan kesabaran dan konsistensi dalam menunggu.

3. Dokumentasi Adalah Investasi Jangka Panjang

Meskipun temuan ini sudah lama saya buat, dengan adanya dokumentasi resmi di CVE.org sekarang, siapapun bisa menggunakan referensi ini untuk memahami resiko dari vulnerability ini dan bagaimana cara mengamankan infrastruktur jaringan mereka.

4. Detail Teknis Penting untuk Disclosure

Tidak cukup hanya laporan singkat bahwa ada vulnerability, tetapi penting juga untuk:

Menjelaskan bagaimana vulnerability ini bisa terjadi
Detail langkah-langkah untuk reproduce
Menjelaskan kemungkinan yang akan terjadi
Memberikan PoC (proof of concept)

Rencana ke Depan

Dengan CVE pertama saya yang resmi terdokumentasikan ini, saya mulai berpikir tentang research lain yang akan saya lakukan.

Saya juga berencana untuk:

Share lebih banyak detail teknis tentang proses research saya
Belajar untuk sharing tentang vulnerability research methodology
Berkolaborasi dengan security researcher lain dalam menemukan dan menganalisa vulnerability

Kesimpulan

Ini adalah momen yang berarti bagi saya karena menunjukkan bahwa research yang saya lakukan memiliki value dan kontribusi terhadap publik. CVE-2023-53881 mungkin tidak akan menjadi temuan terbesar yang pernah saya temukan, namun ini adalah pengalaman pertama dalam perjalanan saya melakukan security research.

Ini adalah hari ke 3 dari 100 hari menulis.

Memperbarui Wajah Website Personal Saya

Thu, 26 Feb 2026 01:00:00 +0700

Kebetulan malam dini hari di bulan Ramadhan ini saya punya waktu luang (alias lagi susah tidur) jadi saya coba untuk melakukan perubahan tampilan blog ini yang baru saja saya lakukan dan menulis sedikit mengenai hal itu. Sebenarnya saya sudah lama ingin melakukan perubahan tampilan blog ini, tapi baru sekarang bisa saya lakukan karena beberapa alasan, salah satunya adalah karena saya ingin mencari tema yang benar-benar cocok dengan selera saya dan juga sesuai dengan kebutuhan saya untuk menampilkan konten di blog ini.

Latar Belakang

Blog ini sebelumnya menggunakan tema hugo-theme-mini dari Hang Jiang, tema yang simpel dan minimalis dan sudah menemani saya selama beberapa waktu. Tema sebelumnya tidak memiliki masalah yang besar, namun saya mulai merasa ingin tampilan yang jauh lebih simpel, lebih personal, dan mendukung dark mode secara proper.

Setelah jalan-jalan mencari referensi, saya menemukan blog milik Rokcso yang tampilannya cocok dengan selera saya. Kebetulan dia juga membuat tema Hugo bernama hugo-bearneo dan mempublikasikannya secara open source. Jadilah saya migrasi ke tema itu dengan sedikit penambahan lagi di visualnya.

Sedikit latar belakang tema ini: hugo-bearneo sendiri merupakan pengembangan dari Hugo Bear Blog. Karena penulis asli Hugo Bear Blog memilih untuk menjaga konsistensi dengan konsep originalnya Bear Blog, rokcso memilih membuat versi terpisah yang lebih ekstensibel dan kaya fitur yang kemudian menjadi hugo-bearneo.

Apa Saja yang Berubah?

Halaman Beranda yang Lebih Terstruktur

Beranda sekarang punya tiga bagian:

Recent Posts — beberapa terbaru
Pinned Posts — tulisan yang saya pin (jika ada)
mungkin nanti akan ada bagian tambahan yang lain

Menurut saya lebih rapi dan lebih cocok untuk tampilan homepage yang lebih personal.

Gambar Native

Dulu saya pakai sintaks shortcode buatan sendiri render-image untuk menampilkan gambar. Sekarang sudah saya migrasikan menggunakan sintaks gambar bawaan Markdown saja, yang berarti tema ini sudah cukup bagus untuk menangani gambar tanpa perlu konfigurasi tambahan.

Penambahan Pill Switcher

Ini fitur yang saya paling suka. Ide pill switcher ini saya dapat dari blog milik Christopher Himes yang punya desain switcher yang elegan. Sekarang jika kalian menggunakan tampilan desktop maka di pojok kanan sebelah menu navigasi ada tiga lingkaran kecil: gelap, terang, dan biru. Coba klik opsi-opsinya untuk mengubah skema warna.

Secara bawaan akan mengikuti preferensi dari sistem (dark/light mode di OS). Kalau kamu pilih salah satu secara manual, pilihannya disimpan dan dipakai lagi saat kamu kembali. Lalu jika coba klik lagi lingkaran yang sudah dipilih maka pilihan manual dihapus dan balik otomatis ke sistem.

Di tampilan mobile, pill-nya juga tampil dengan baik dimana akan terpisah di bawah menu navigasi supaya tidak sesak dan aneh untuk dilihat.

Berkaitan dengan Konten

Perubahan tampilan ini tidak mengubah arah konten blog. Saya tetap akan coba perlahan mulai konsisten menulis lagi hal-hal yang saya alami, pelajari, atau sekadar ingin bagikan mengenai kehidupan dan apapun yang sedang ada di kepala saya. Kalau ada tampilan yang terasa aneh atau ada yang tidak berfungsi dengan baik di browser atau perangkat kamu, jangan ragu untuk kasih tahu.

Dengan wajah baru ini saya akan coba mengikuti challenge 100 Days To Offload yang diinisiasi oleh Kev Quirk. Jika ada artikel saya menggunakan tag #100DaysToOffload saya akan menambahkan keterangan sudah sampai hari ke berapa artikel yang saya buat itu. Semoga bisa konsisten sampai 100 hari ke depan. Terima kasih sudah mampir! 👋

Ini adalah hari ke 1 dari 100 hari menulis.

Gara Gara DNS, Saya Jadi Tidak Bisa Terhubung ke VPN

Tue, 10 Jan 2023 14:47:18 +0700

Jadi permasalahan ini bermula ketika tiba-tiba saya tidak bisa terhubung ke layanan Mobile and Remote Access (MRA) di aplikasi VPN client saya. Setelah mencoba beberapa solusi, ternyata saya lalai dengan DNS.

Bagaimana cara menyelesaikan ini

Setiap ada permasalahan, saya sebisa mungkin memetakan kemungkinan-kemungkinan yang menjadi penyebab dan solusinya. Pada awalnya saya mengira bahwa permasalahan ini terjadi karena akun profil VPN saya terkena blokir oleh server VPN. Karena pesan error yang disampaikan berbunyi “Wrong username & password”.

Namun ternyata setelah dibantu dan mencoba panduan yang diberikan, saya masih belum bisa terhubung ke VPN. Jadi saya perlu mencoba beberapa solusi sendiri untuk mendapatkan penyelesaian masalah ini, diantaranya.

Mencoba menggunakan akun profil VPN milik rekan kerja di laptop saya
Mencoba meminta bantuan agar rekan kerja menggunakan akun profil VPN milik saya di laptopnya
Mencoba menggunakan aplikasi VPN client di mesin virtual (virtual machine)

Setelah mencoba itu semua, saya mengetahui bahwa masalah ini ada pada laptop saya. Saya mencoba memikirkan kembali apa yang menjadi penyebabnya, dan kemungkinan Virtual Network Adapter dari aplikasi VPN client tidak berjalan dengan baik karena ada Virtual Network Adapter aplikasi VPN client lain (crash). Saatnya memikirkan solusi yang lain.

Mencoba memasang ulang aplikasi VPN client yang bermasalah
Mencoba mencopot aplikasi VPN client yang lain

Namun tetap saja masih belum bisa terhubung, pesan error yang disampaikan juga masih sama.

It’s not DNS… There’s no way it’s DNS… It was DNS…

Setelah berjibaku dengan semua percobaan, saya terdiam dan merenung. “Mengapa ya? Di laptop lain bisa tapi di laptop ini masih gagal.” begitulah renungan saya pada saat itu. Sekejap mata saya tiba-tiba teringat dengan file /etc/hosts di laptop saya yang sebelumnya saya modifikasi untuk menambahkan beberapa baris nama domain agar mengarah ke alamat IP yang sudah saya tentukan untuk keperluan pekerjaan.

Ya, ternyata benar saja saya memasukkan nama domain yang digunakan di profil VPN saya untuk terhubung ke server VPN dan nama domain tersebut saya arahkan ke alamat IP server VPN yang lama (sepertinya). Setelah saya hapus nama domain tersebut dari file /etc/hosts di laptop saya agar kembali mendapatkan alamat IP server yang sebenarnya. Boom… Saya bisa terhubung kembali seperti biasanya.

Sekilas ilustrasinya seperti ini file /etc/hosts di laptop saya

Nama Domain	Alamat IP
vpn.example.com	111.111.111.111

Padahal yang ada di server DNS yang saya gunakan bukan mengarah alamat IP tersebut, jadi seharusnya seperti ini

Nama Domain	Alamat IP
vpn.example.com	111.111.111.222

Akhir dari permasalahan ini

Saya benar-benar tidak menyangka, setelah berkali-kali memikirkan penyebab dan solusinya. Ternyata penyebabnya adalah kelalaian saya sendiri dan solusinya sangatlah sederhana. Sangat-sangat tidak terpikirkan sebelumnya karena saya hanya fokus pada permasalahan aplikasi VPN client tersebut. Mungkin ini jadi pelajaran bagi saya agar tidak terlalu jauh memikirkan penyebab dan solusi suatu masalah ketika tidak ada indikasi yang jelas.

Mencoba untuk Berpuasa Media Sosial Selama Satu Minggu

Wed, 07 Dec 2022 15:45:47 +0700

Mungkin ini adalah aksi yang konyol menurut saya, karena saya dulu sudah pernah merasakan tidak bisa mengakses internet selama beberapa waktu karena keterbatasan saya. Namun itu adalah hal yang tidak direncanakan, oleh karena itu saya mencoba secara niat untuk berpuasa dari media sosial.

Menonaktifkan akun media sosial

Karena sering sekali notifikasi dari akun meme masuk, agar tidak terdistraksi oleh notifikasi tersebut sepertinya saya perlu menonaktifkan sementara akun media sosial saya. Memang sedikit bimbang namun saya perlu fokus menjalankan aksi saya.

Merasakan kegelisahan

Awal menjalani kehidupan tanpa media sosial rasanya sangat aneh sekali, karena biasanya tangan saya dengan lihai menuju ke logo aplikasi media sosial dan dengan aktif menjelajahi setiap postingan teman-teman saya dan akun meme yang tampil. Terkadang muncul kegelisahan karena tidak melihat kabar terbaru dari media sosial dan saya merasa sedikit terasing, tetapi saya mencoba untuk mengalihkannya dengan membaca beberapa artikel yang sudah saya simpan, saya rasa ini cukup ampuh untuk mengalihkan perhatian.

Setelah berjalan tiga hari akhirnya saya mulai sedikit terbiasa, dan jarang merasakan kegelisahan seperti sebelumnya. Meskipun sesekali merasa bingung mau melakukan aktivitas apalagi saat waktu luang. Akhirnya saya mencoba untuk melanjutkan beberapa artikel blog saya yang masih belum terpublikasi.

Menikmati kesunyian

Seiring berjalannya waktu, saya mulai merasakan manfaat dari keputusan saya itu. Saya merasa lebih fokus pada pekerjaan saya. Tanpa terdistraksi oleh pemberitahuan media sosial yang selalu masuk, saya bisa lebih cepat menyelesaikan tugas-tugas yang ada. Saya juga lebih tenang dan dapat berpikir lebih jernih.

Saya merasa lebih bahagia. Tanpa terpengaruh oleh postingan-postingan negatif di media sosial karena tidak semua yang terlihat di media sosial itu sesuai dengan realita. Saya juga tidak perlu lagi cemas tentang apa yang orang lain pikirkan tentang saya karena tidak ada lagi akun media sosial yang harus dipertahankan.

Kesimpulan

Saya merasa bahwa berpuasa menggunakan media sosial adalah keputusan yang bagus. Setelah satu minggu berpuasa media sosial, saya merasa sedikit lebih produktif, lebih dekat dengan orang-orang terdekat saya, dan belajar lebih banyak tentang diri saya sendiri.

Pengalaman Bikin Rekening BRI

Wed, 05 Apr 2017 10:00:00 +0700

Pengalaman ini berdasarkan kisah saya sendiri 😀 hehehe Jadi kiranya ada kesalahan kata atau cerita yang ngaco ya Mohon Maaf gan !

Berawal dari dapat Transferan dari Teman di Facebook yang dikirim ke alamat Rekening Ibu saya, saya pun ingin juga mempunyai Rekening sendiri agar mudah untuk Transaksi Apapun di Internet ini.

Setelah Uang saya terima dari mesin ATM saya pun langsung pergi masuk ke kantor dan ambil nomor antrian Customer Service dapat nomor urut 540, saat itu sudah sampai nomor urut 529 nunggu lama lah.

Setelah menunggu lama kurang lebih 2 jam, saya pun pergi ke meja didepan Mbak Customer Service yang cantik uhuy :* dan ramah.

Saya bilang saya ingin membuka rekening baru, lalu saya ditanya KTP ? lah wong saya masih belum punya KTP alhasil saya bilang masih sekolah dan belum dapat KTP. Mbak CS tadi meminta KK (fotocopy) dan Kartu Peserta Sekolah dan itupun saya belum dapat karena saya masih kelas 1 di sekolah itu, alhasil kata si Mbak CS harus ada surat keterangan sekolah itupun menyusul juga tidak apa apa sekalian dengan Pas Fotonya.

Setelah diproses Akhirnya Rekening saya pun jadi dan saya disuruh mengisikan PIN ATM nya berulang kali.

Sekian Cerita Saya yang pertama kalinya Bikin ATM sendiri 😀

Semoga Bermanfaat !