كشفت شركة الأمن السيبراني FoxIO عن ثلاث ثغرات أمنية في طريقة تعامل خادم الويب "GoAhead" مع بروتوكول طبقة النقل الآمنة (TLS). ونظراً لأن هذا الخادم الخفيف، الذي تطوره شركة EmbedThis، يُستخدم في إدارة واجهات أجهزة الشبكات، والطابعات، والأنظمة الصناعية، فإن نطاق التأثير واسع جداً؛ حيث يتواجد في مئات الملايين من الأجهزة ضمن قطاعات إنترنت الأشياء (IoT)، والتقنيات التشغيلية (OT)، والجدران النارية، وحتى القطاعات العسكرية.
تفاصيل الثغرات المكتشفة
تتنوع الثغرات في خطورتها وآلية عملها بناءً على المكتبة البرمجية التي تم دمجها في الجهاز:
- ثغرة تجاوز إلغاء الشهادات (CVE-2026-115881): حصلت على تقييم خطورة 9.1 (CVSS). تؤثر على الإصدارات من 3.4.5 إلى 6.1.0 التي تستخدم مكتبة OpenSSL. تكمن المشكلة في أن الخادم يقرأ قائمة إلغاء الشهادات (CRL) ولكنه لا يطلب من المكتبة التحقق منها فعلياً، مما يسمح باستخدام شهادات ملغاة (مثل تلك المسروقة) دون اكتشافها.
- ثغرة إضعاف التشفير: تؤثر على الإصدارات التي تستخدم مكتبة Mbed TLS. تؤدي هذه الثغرة إلى إضعاف تشفير بعض اتصالات TLS 1.2، مما قد يسمح للمتسللين بفك تشفير الجلسات المسجلة لاحقاً (Offline Decryption).
- ثغرة تجاوز طول سلسلة الشهادات (CVE-2026-115884): حصلت على تقييم 7.4 (CVSS). تستهدف الإصدارات التي تستخدم LibreSSL، وتسمح للمهاجمين بتجاوز الحد الأقصى لطول سلسلة الشهادات في الخوادم التي تقبل شهادات من أي جهة إصدار.
ما الذي يهم المستخدمين والشركات؟
تكمن الخطورة الحقيقية في "فجوة التحديث" بين مطور البرمجيات ومصنع الجهاز. فبينما أصدر مطور الخادم (EmbedThis) الإصدار 6.1.1 لمعالجة مشكلات OpenSSL وMbed TLS، فإن هذا لا يعني أن الأجهزة المتأثرة أصبحت آمنة تلقائياً. يجب على الشركات المصنعة للأجهزة دمج هذا التحديث في برامجها الثابتة (Firmware) ثم إرسال التحديثات للمستخدمين النهائيين.
وقد أشارت FoxIO إلى أن شركات كبرى تعتمد أجهزتها على خادم GoAhead، ومن بينها: Lockheed Martin، Boeing، Siemens، Honeywell، GE، Oracle، HP، Canon، Comcast، وD-Link، دون تحديد ما إذا كانت منتجاتها الحالية تستخدم الإعدادات الضعيفة المصابة.
سبل الحماية المتاحة
أوصت FoxIO بعدة إجراءات تقنية بناءً على نوع المكتبة المستخدمة في الجهاز:
- لمستخدمي Mbed TLS: يمكن إيقاف مجموعات تشفير DHE ذات الحقول المحدودة أو الانتقال إلى استخدام مكتبة OpenSSL كخلفية برمجية.
- لمستخدمي LibreSSL: يُنصح بتفعيل التحقق من الجهة المصدرة باستخدام حزمة CA موثوقة، أو الترقية إلى LibreSSL 4.x أو OpenSSL.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.