Das Cybersicherheitsunternehmen FoxIO hat drei Sicherheitslücken in der Art und Weise aufgedeckt, wie der Webserver „GoAhead“ mit dem Protokoll für die Transportessicherheit (TLS) umgeht. Da dieser schlanke Server, der von der Firma EmbedThis entwickelt wird, zur Verwaltung von Netzwerkschnittstellen, Druckern und industriellen Systemen eingesetzt wird, ist das Ausmaß der Auswirkungen sehr groß. Er ist in Hunderten Millionen Geräten in den Bereichen Internet der Dinge (IoT), Operationelle Technologie (OT), Firewalls und sogar im militärischen Sektor zu finden.
Details zu den entdeckten Schwachstellen
Die Schwachstellen variieren in ihrem Schweregrad und ihrer Funktionsweise je nach der Softwarebibliothek, die in das Gerät integriert wurde:
- Schwachstelle zur Umgehung des Zertifikatswiderrufs (CVE-2026-115881): Diese erhielt einen Schweregrad von 9,1 (CVSS). Sie betrifft die Versionen 3.4.5 bis 6.1.0, die die OpenSSL-Bibliothek verwenden. Das Problem liegt darin, dass der Server zwar die Sperrliste für Zertifikate (CRL) einliest, die Bibliothek jedoch nicht auffordert, diese tatsächlich zu überprüfen. Dadurch können widerrufene Zertifikate (wie etwa gestohlene) unbemerkt verwendet werden.
- Schwachstelle zur Verschlüsselungsabschwächung: Betrifft Versionen, die die Mbed-TLS-Bibliothek verwenden. Diese Schwachstelle führt zu einer Abschwächung der Verschlüsselung bei bestimmten TLS-1.2-Verbindungen, was es Angreifern ermöglichen könnte, später aufgezeichnete Sitzungen zu entschlüsseln (Offline Decryption).
- Schwachstelle zur Umgehung der Zertifikatskettenlänge (CVE-2026-115884): Erhielt eine Bewertung von 7.4 (CVSS). Sie zielt auf Versionen ab, die LibreSSL verwenden, und erlaubt Angreifern, die maximale Länge der Zertifikatskette auf Servern zu überschreiten, die Zertifikate von beliebigen Ausstellern akzeptieren.
Was für Nutzer und Unternehmen wichtig ist
Die eigentliche Gefahr liegt in der „Aktualisierungslücke“ zwischen dem Softwareentwickler und dem Gerätehersteller. Zwar hat der Serverentwickler (EmbedThis) die Version 6.1.1 zur Behebung der OpenSSL- und Mbed-TLS-Probleme veröffentlicht, doch bedeutet dies nicht automatisch, dass die betroffenen Geräte sicher sind. Gerätehersteller müssen dieses Update in ihre Firmware integrieren und die Aktualisierungen anschließend an die Endbenutzer ausrollen.
FoxIO wies darauf hin, dass große Unternehmen Geräte einsetzen, die auf dem GoAhead-Server basieren, darunter: Lockheed Martin, Boeing, Siemens, Honeywell, GE, Oracle, HP, Canon, Comcast und D-Link, ohne jedoch anzugeben, ob deren aktuelle Produkte die anfälligen Konfigurationen verwenden.
Verfügbare Schutzmaßnahmen
FoxIO hat basierend auf dem Typ der im Gerät verwendeten Bibliothek mehrere technische Maßnahmen empfohlen:
- Für Mbed-TLS-Nutzer: Es können DHE-Verschlüsselungssuite mit begrenzten Feldern deaktiviert oder zu OpenSSL als Software-Backend gewechselt werden.
- Für LibreSSL-Nutzer: Es wird empfohlen, die Überprüfung des Ausstellers mithilfe eines vertrauenswürdigen CA-Pakets zu aktivieren oder ein Upgrade auf LibreSSL 4.x oder OpenSSL durchzuführen.