A empresa de cibersegurança FoxIO revelou três vulnerabilidades de segurança na forma como o servidor web "GoAhead" lida com o protocolo Transport Layer Security (TLS). Dado que este servidor leve, desenvolvido pela empresa EmbedThis, é utilizado na gestão de interfaces de dispositivos de rede, impressoras e sistemas industriais, o alcance do impacto é muito vasto; ele está presente em centenas de milhões de dispositivos nos setores de Internet das Coisas (IoT), Tecnologias Operacionais (OT), firewalls e até mesmo em setores militares.
Detalhes das vulnerabilidades descobertas
As vulnerabilidades variam em gravidade e mecanismo de funcionamento com base na biblioteca de software integrada no dispositivo:
- Vulnerabilidade de bypass de revogação de certificados (CVE-2026-115881): Recebeu uma pontuação de gravidade de 9.1 (CVSS). Afeta as versões de 3.4.5 a 6.1.0 que utilizam a biblioteca OpenSSL. O problema reside no facto de o servidor ler a lista de revogação de certificados (CRL), mas não solicitar à biblioteca que a verifique efetivamente, o que permite a utilização de certificados revogados (como os roubados) sem serem detetados.
- Vulnerabilidade de enfraquecimento da encriptação: Afeta as versões que utilizam a biblioteca Mbed TLS. Esta vulnerabilidade leva ao enfraquecimento da encriptação de algumas ligações TLS 1.2, o que pode permitir que atacantes decifrem sessões gravadas posteriormente (Offline Decryption).
- Vulnerabilidade de bypass do comprimento da cadeia de certificados (CVE-2026-115884): Recebeu uma pontuação de 7.4 (CVSS). Visa as versões que utilizam LibreSSL e permite que os atacantes contornem o comprimento máximo da cadeia de certificados em servidores que aceitam certificados de qualquer autoridade emissora.
O que é importante para os utilizadores e empresas?
O perigo real reside na "lacuna de atualização" entre o programador de software e o fabricante do dispositivo. Embora o programador do servidor (EmbedThis) tenha lançado a versão 6.1.1 para resolver os problemas do OpenSSL e Mbed TLS, isso não significa que os dispositivos afetados estejam automaticamente seguros. Os fabricantes de dispositivos devem integrar esta atualização no seu firmware e, em seguida, enviar as atualizações para os utilizadores finais.
A FoxIO indicou que grandes empresas têm dispositivos que dependem do servidor GoAhead, incluindo: Lockheed Martin, Boeing, Siemens, Honeywell, GE, Oracle, HP, Canon, Comcast e D-Link, sem especificar se os seus produtos atuais utilizam as configurações vulneráveis afetadas.
Meios de proteção disponíveis
A FoxIO recomendou várias medidas técnicas com base no tipo de biblioteca utilizada no dispositivo:
- Para utilizadores de Mbed TLS: É possível desativar conjuntos de cifras DHE com campos limitados ou mudar para a utilização da biblioteca OpenSSL como backend de software.
- Para utilizadores de LibreSSL: Recomenda-se ativar a verificação da autoridade emissora utilizando um pacote CA fidedigno, ou atualizar para o LibreSSL 4.x ou OpenSSL.