La empresa de ciberseguridad FoxIO ha revelado tres vulnerabilidades de seguridad en la forma en que el servidor web "GoAhead" maneja el protocolo de seguridad de la capa de transporte (TLS). Dado que este servidor ligero, desarrollado por la empresa EmbedThis, se utiliza en la gestión de interfaces de dispositivos de red, impresoras y sistemas industriales, el alcance del impacto es muy amplio; está presente en cientos de millones de dispositivos dentro de los sectores de Internet de las Cosas (IoT), tecnologías operativas (OT), cortafuegos e incluso sectores militares.
Detalles de las vulnerabilidades descubiertas
Las vulnerabilidades varían en su gravedad y mecanismo de acción según la biblioteca de software integrada en el dispositivo:
- Vulnerabilidad de omisión de revocación de certificados (CVE-2026-115881): Obtuvo una calificación de gravedad de 9.1 (CVSS). Afecta a las versiones de la 3.4.5 a la 6.1.0 que utilizan la biblioteca OpenSSL. El problema radica en que el servidor lee la lista de revocación de certificados (CRL) pero no solicita a la biblioteca que la verifique realmente, lo que permite el uso de certificados revocados (como los robados) sin ser detectados.
- Vulnerabilidad de debilitamiento del cifrado: Afecta a las versiones que utilizan la biblioteca Mbed TLS. Esta vulnerabilidad conduce al debilitamiento del cifrado de algunas conexiones TLS 1.2, lo que podría permitir a los atacantes descifrar sesiones registradas posteriormente (descifrado fuera de línea).
- Vulnerabilidad de omisión de longitud de cadena de certificados (CVE-2026-115884): Obtuvo una calificación de 7.4 (CVSS). Se dirige a las versiones que utilizan LibreSSL y permite a los atacantes superar la longitud máxima de la cadena de certificados en servidores que aceptan certificados de cualquier entidad emisora.
¿Qué es lo que importa a los usuarios y a las empresas?
El peligro real reside en la "brecha de actualización" entre el desarrollador del software y el fabricante del dispositivo. Si bien el desarrollador del servidor (EmbedThis) lanzó la versión 6.1.1 para abordar los problemas de OpenSSL y Mbed TLS, esto no significa que los dispositivos afectados sean seguros automáticamente. Los fabricantes de dispositivos deben integrar esta actualización en su firmware y luego enviar las actualizaciones a los usuarios finales.
FoxIO ha señalado que grandes empresas dependen de dispositivos con el servidor GoAhead, entre ellas: Lockheed Martin, Boeing, Siemens, Honeywell, GE, Oracle, HP, Canon, Comcast y D-Link, sin especificar si sus productos actuales utilizan las configuraciones vulnerables afectadas.
Medidas de protección disponibles
FoxIO ha recomendado varias medidas técnicas basadas en el tipo de biblioteca utilizada en el dispositivo:
- Para usuarios de Mbed TLS: Se pueden desactivar los conjuntos de cifrado DHE con campos limitados o migrar al uso de la biblioteca OpenSSL como backend.
- Para usuarios de LibreSSL: Se recomienda activar la verificación de la entidad emisora utilizando un paquete de CA confiable, o actualizar a LibreSSL 4.x u OpenSSL.