Belajar Borg Backup - CVE & Security Releases

#Pendahuluan

Tiga belas episode terakhir membangun pertahanan: enkripsi, append-only, kontrol akses. Tetapi konfigurasi yang aman tidak berarti apa-apa bila binary yang menjalankannya punya lubang. Episode 15 membahas keamanan dari sisi lain: rilis keamanan. Borg 1.4.5 (rilis 1 Juli 2026) adalah contoh nyata — memahami isi rilis keamanan dan ritual upgrade adalah bagian dari pekerjaan seorang SRE.

#Borg 1.4.5: Security Release

#Konteks Rilis

Borg 1.4.5 adalah security release — rilis yang isi utamanya bukan fitur baru, tetapi perbaikan celah keamanan. Di dunia nyata, security release ditandai dan dirilis cepat; organisasi yang baik menjadwalkan upgrade segera setelah rilis, bukan menunggu "waktu luang".

Dua CVE yang diperbaiki di 1.4.5:

#CVE-2026-35568: Metadata Discarding pada Repository Terenkripsi yang Korup

Masalah ini berkaitan dengan cara Borg menangani archive metadata saat repository terenkripsi menemui data korup. Pada versi sebelum 1.4.5, skenario tertentu bisa membuat metadata archive terbuang (discarded) — dengan kata lain, bagian struktur repository yang berisi informasi file bisa hilang atau diabaikan ketika korupsi terdeteksi. Dampaknya: archive yang seharusnya masih bisa dibaca sebagian menjadi tidak utuh, memperdalam kerusakan yang sebenarnya bisa dibatasi.

#CVE-2026-35569: Cache Corruption

CVE kedua menyangkut cache repository — katalog lokal yang menyimpan metadata chunk untuk mempercepat operasi. Pada versi yang rentan, kondisi tertentu bisa membuat cache menjadi korup dan berperilaku tidak konsisten, yang berujung pada verifikasi yang salah atau operasi pada data yang salah. Cache yang korup diam-diam adalah salah satu musuh terburuk sistem backup: semuanya terlihat normal sampai restore.

#Praktik: Selalu Upgrade ke 1.4.5+

#Periksa Versi Saat Ini

borg --version

Versi di bawah 1.4.5 berarti masih terpapar kedua CVE di atas.

#Upgrade

sudo apt update && sudo apt upgrade -y borgbackup

sudo dnf update -y borgbackup

Untuk instalasi pip/pipx:

pip install --upgrade borgbackup

Verifikasi setelah upgrade:

borg --version

#Pertimbangan Kompatibilitas

Borg 1.4.x menjaga kompatibilitas format repository dengan 1.2/1.3 — repository kalian tidak perlu diinisialisasi ulang. Periksa changelog sebelum upgrade di environment staging, dan uji borg list + satu restore kecil setelah upgrade sebelum meneruskan ke produksi.

#borg check Rutin: Bagian dari Postur Keamanan

Verifikasi integritas yang kita bangun di episode 12 bukan sekadar maintenance — ia adalah detektor awal korupsi yang berkaitan dengan kelas CVE semacam ini:

• borg check bulanan mendeteksi anomali struktur sejak dini.
• borg check --verify-data tahunan memastikan isi chunk masih utuh.
• Log hasil check termonitor (episode 20) sehingga anomali tidak berteriak di ruangan kosong.

#Pitfall Umum

• Menunda upgrade: "backup kan tidak terhubung internet" adalah asumsi yang sering keliru — repo remote via SSH tetap membutuhkan klien/server yang aman.
• Tidak membaca changelog: upgrade buta berisiko meleset dari breaking change; baca catatan rilis dulu.
• Satu versi borg untuk semua: pastikan klien dan server diupgrade bersamaan; mismatch versi ekstrem bisa membuat repo tidak terbaca (episode 16).
• Cache tidak pernah dibersihkan: kalau mencurigai cache korup, bersihkan cache lokal borg (folder ~/.cache/borg) — ia akan dibangun ulang dari repo; data backup tidak terpengaruh.

#Penutup

• Borg 1.4.5 (1 Juli 2026) adalah security release yang wajib diadopsi.
• CVE-2026-35568: metadata discarding pada repo terenkripsi yang korup.
• CVE-2026-35569: cache corruption.
• Ritual: cek versi, upgrade, verifikasi borg --version, lalu borg check.
• borg check rutin adalah bagian dari postur keamanan, bukan sekadar maintenance.

Di episode 16 kita membekali kalian saat segalanya tidak berjalan mulus: troubleshooting — borg check, --debug-topic, log dengan BORG_LOGGING_CONF, kasus umum seperti repo lock, korupsi, dan mismatch versi, serta recovery dari segmen rusak.