GoAhead Web Sunucusunda Tespit Edilen TLS Zafiyetleri Milyonlarca Cihazı Tehdit Ediyor

EmbedThis tarafından geliştirilen ve dünya genelinde yüz milyonlarca cihazda yönetim arayüzü olarak kullanılan GoAhead web sunucusunda, TLS protokolünün işlenişine dair üç önemli zafiyet tespit edildi. FoxIO araştırmacıları tarafından belgelenen bu açıklar; sertifika iptal listelerinin göz ardı edilmesine, şifreli trafiğin deşifre edilmesine ve sertifika zinciri uzunluğu sınırlamalarının aşılmasına neden olabiliyor.

GoAhead 3.4.5 ile 6.1.0 sürümleri arasında, OpenSSL veya uyumlu bir kütüphane ile yapılandırılmış ve karşılıklı TLS (mTLS) kullanılan sistemleri etkiliyor. Bu yapılandırmada sunucu, sertifika iptal listesini okumasına rağmen OpenSSL'e bu listeyi kontrol etmesi talimatını vermiyor. Bu durum, çalınan veya güvenliği ihlal edilen cihazlara ait sertifikaların, yönetici tarafından iptal edilmiş olsa dahi geçerli kabul edilmesine yol açıyor.

İlginizi çekebilir · Siber GüvenlikClickFix Saldırı Kampanyası Yeni Bir Zararlı Yazılım Dalgasıyla Geri Döndü

Bir diğer zafiyet olan ve 5.9 CVSS puanına sahip olan açık, Mbed TLS kullanan 4.0.2 ile 6.1.0 sürümlerini etkiliyor. Kodlama hatası nedeniyle TLS 1.2 bağlantılarının şifrelemesi zayıflıyor ve saldırganların kaydedilen oturumları çevrimdışı olarak deşifre etmesine imkan tanıyor. Son olarak, CVE-2026-115884 kodlu ve 7.4 CVSS puanlı zafiyet ise LibreSSL 3.2.x veya 3.3.2-3.3.6 sürümleriyle derlenen GoAhead 6.1.0 ve öncesindeki sürümlerde, sertifika zinciri uzunluğu kısıtlamasının aşılmasına neden oluyor.

FoxIO, GoAhead 6.1.1 sürümü ile OpenSSL ve Mbed TLS sorunlarının çözüldüğünü belirtiyor. Ancak, cihazların güvenliği doğrudan üreticilerin yayınlayacağı firmware güncellemelerine bağlı durumda. Araştırmacılar, savunma ekiplerinin internete açık sunucuları tespit etmeleri ve kullanılan TLS kütüphanelerini belirlemeleri için proof-of-concept kodları ve parmak izi verilerini paylaştı. Palo Alto Networks, D-Link, HP, Canon, Honeywell, GE, Oracle, Siemens, Rockwell, Digi, Lockheed Martin ve Boeing gibi şirketlerin ürünlerinde bu sunucunun kullanıldığı biliniyor, ancak hangi spesifik modellerin savunmasız olduğu henüz netlik kazanmadı.