사이버 보안 기업 FoxIO가 GoAhead 웹 서버의 TLS(전송 계층 보안) 프로토콜 처리 방식에서 세 가지 보안 취약점을 발견했습니다. EmbedThis가 개발한 이 경량 서버는 네트워크 장치, 프린터, 산업용 시스템의 인터페이스 관리에 사용되며, 사물인터넷(IoT), 운영 기술(OT), 방화벽, 심지어 군사 분야를 포함한 수억 대의 장치에 탑재되어 있어 그 영향 범위가 매우 넓습니다.
발견된 취약점 세부 정보
취약점의 위험성과 작동 방식은 장치에 통합된 소프트웨어 라이브러리에 따라 다릅니다.
- 인증서 폐기 우회 취약점 (CVE-2026-115881): CVSS 위험도 9.1점을 기록했습니다. OpenSSL 라이브러리를 사용하는 3.4.5에서 6.1.0 버전까지 영향을 미칩니다. 서버가 인증서 폐기 목록(CRL)을 읽지만 라이브러리에 실제 검증을 요청하지 않는 문제가 있어, 도난당한 인증서와 같이 폐기된 인증서가 탐지되지 않고 사용될 수 있습니다.
- 암호화 약화 취약점: Mbed TLS 라이브러리를 사용하는 버전에 영향을 미칩니다. 이 취약점은 일부 TLS 1.2 통신의 암호화를 약화시켜 공격자가 나중에 기록된 세션을 복호화(오프라인 복호화)할 수 있게 합니다.
- 인증서 체인 길이 우회 취약점 (CVE-2026-115884): CVSS 위험도 7.4점을 기록했습니다. LibreSSL을 사용하는 버전을 대상으로 하며, 공격자가 모든 발급 기관의 인증서를 허용하는 서버에서 인증서 체인 길이 제한을 우회할 수 있게 합니다.
사용자와 기업이 알아야 할 점
진정한 위험은 소프트웨어 개발자와 장치 제조업체 사이의 '업데이트 격차'에 있습니다. 서버 개발자인 EmbedThis가 OpenSSL 및 Mbed TLS 문제를 해결하기 위해 6.1.1 버전을 출시했지만, 이것이 곧바로 영향을 받는 장치들이 안전해졌음을 의미하지는 않습니다. 장치 제조업체는 이 업데이트를 펌웨어에 통합한 후 최종 사용자에게 업데이트를 배포해야 합니다.
FoxIO는 Lockheed Martin, Boeing, Siemens, Honeywell, GE, Oracle, HP, Canon, Comcast, D-Link 등 주요 기업들이 GoAhead 서버를 기반으로 하는 장치를 사용하고 있다고 지적했으나, 해당 기업들의 현재 제품이 취약한 설정을 사용하고 있는지 여부는 명시하지 않았습니다.
가용한 보호 조치
FoxIO는 장치에서 사용하는 라이브러리 유형에 따라 다음과 같은 기술적 조치를 권장했습니다.
- Mbed TLS 사용자: 제한된 필드의 DHE 암호화 제품군을 비활성화하거나 백엔드로 OpenSSL 라이브러리를 사용하도록 전환할 수 있습니다.
- LibreSSL 사용자: 신뢰할 수 있는 CA 패키지를 사용하여 발급 기관 검증을 활성화하거나, LibreSSL 4.x 또는 OpenSSL로 업그레이드할 것을 권장합니다.