Vulnerabilità · 7 ore fa
FoxIO ha segnalato tre difetti TLS in EmbedThis GoAhead. Oltre all’accettazione di certificati client revocati in alcune configurazioni OpenSSL, emergono un bypass dei controlli sulle catene di certificati con LibreSSL e una debolezza della cifratura con Mbed TLS.
Nel caso OpenSSL, GoAhead carica la lista dei certificati revocati ma non chiede alla libreria di consultarla: il server può quindi accettare un certificato che l’amministratore ha invalidato. La falla LibreSSL permette di superare un limite alla lunghezza della catena; quella Mbed TLS può rendere decifrabili offline alcune sessioni TLS 1.2, se il client accetta i parametri coinvolti.
GoAhead 6.1.1 corregge i difetti OpenSSL e Mbed TLS; per quello LibreSSL, FoxIO indica la verifica dell’emittente con una CA attendibile o il passaggio a OpenSSL o LibreSSL 4.x. Sui dispositivi embedded, però, la correzione upstream non chiude l’esposizione finché il produttore non la integra e distribuisce nel firmware.
2 fonti che coprono questa storia
TLS Flaws Found in GoAhead Web Server Used in Hundreds of Millions of Devices
FoxIO disclosed three GoAhead TLS bugs that can let revoked certificates through or expose some encrypted sessions to eavesdroppers.
GoAhead TLS Flaws Allow Revoked Client Certificates and Enable Session Decryption
GoAhead can accept revoked client certificates on affected OpenSSL mutual-TLS builds despite configured revocation lists; version 6.1.1 fixes it.
Part of the PlainSec briefing for 2026-10-28