La société de cybersécurité FoxIO a révélé trois vulnérabilités de sécurité dans la manière dont le serveur web "GoAhead" gère le protocole de sécurité de la couche de transport (TLS). Étant donné que ce serveur léger, développé par la société EmbedThis, est utilisé dans la gestion des interfaces d'équipements réseau, d'imprimantes et de systèmes industriels, l'ampleur de l'impact est très vaste ; il est présent dans des centaines de millions d'appareils au sein des secteurs de l'Internet des objets (IoT), des technologies opérationnelles (OT), des pare-feux, et même dans les secteurs militaires.
Détails des vulnérabilités découvertes
La gravité et le mécanisme de fonctionnement des vulnérabilités varient en fonction de la bibliothèque logicielle intégrée dans l'appareil :
- Vulnérabilité de contournement de la révocation de certificats (CVE-2026-115881) : Elle a reçu un score de gravité de 9.1 (CVSS). Elle affecte les versions 3.4.5 à 6.1.0 utilisant la bibliothèque OpenSSL. Le problème réside dans le fait que le serveur lit la liste de révocation de certificats (CRL) mais ne demande pas à la bibliothèque de la vérifier réellement, ce qui permet l'utilisation de certificats révoqués (tels que ceux volés) sans être détectés.
- Vulnérabilité d'affaiblissement du chiffrement : Elle affecte les versions utilisant la bibliothèque Mbed TLS. Cette vulnérabilité conduit à l'affaiblissement du chiffrement de certaines connexions TLS 1.2, ce qui pourrait permettre aux pirates de déchiffrer ultérieurement les sessions enregistrées (déchiffrement hors ligne).
- Vulnérabilité de dépassement de la longueur de la chaîne de certificats (CVE-2026-115884) : Elle a reçu un score de 7.4 (CVSS). Elle cible les versions utilisant LibreSSL et permet aux attaquants de contourner la limite maximale de longueur de la chaîne de certificats sur les serveurs qui acceptent des certificats de n'importe quelle autorité de certification.
Qu'est-ce qui est important pour les utilisateurs et les entreprises ?
Le véritable danger réside dans le "fossé de mise à jour" entre le développeur du logiciel et le fabricant de l'appareil. Bien que le développeur du serveur (EmbedThis) ait publié la version 6.1.1 pour corriger les problèmes d'OpenSSL et de Mbed TLS, cela ne signifie pas que les appareils concernés sont automatiquement sécurisés. Les fabricants d'appareils doivent intégrer cette mise à jour dans leurs micrologiciels (firmware), puis envoyer les mises à jour aux utilisateurs finaux.
FoxIO a indiqué que de grandes entreprises utilisent des appareils basés sur le serveur GoAhead, notamment : Lockheed Martin, Boeing, Siemens, Honeywell, GE, Oracle, HP, Canon, Comcast et D-Link, sans préciser si leurs produits actuels utilisent les configurations vulnérables.
Moyens de protection disponibles
FoxIO a recommandé plusieurs mesures techniques basées sur le type de bibliothèque utilisée dans l'appareil :
- Pour les utilisateurs de Mbed TLS : Il est possible de désactiver les suites de chiffrement DHE à champs limités ou de passer à l'utilisation de la bibliothèque OpenSSL comme backend logiciel.
- Pour les utilisateurs de LibreSSL : Il est conseillé d'activer la vérification de l'autorité de certification en utilisant un paquet CA fiable, ou de mettre à niveau vers LibreSSL 4.x ou OpenSSL.