Компания по кибербезопасности FoxIO выявила три уязвимости в том, как веб-сервер GoAhead обрабатывает протокол TLS (Transport Layer Security). Поскольку этот легковесный сервер, разрабатываемый компанией EmbedThis, используется для управления интерфейсами сетевого оборудования, принтеров и промышленных систем, масштаб воздействия крайне велик; он присутствует в сотнях миллионов устройств в секторах интернета вещей (IoT), операционных технологий (OT), межсетевых экранов и даже в военном секторе.
Детали обнаруженных уязвимостей
Уязвимости различаются по степени опасности и механизму действия в зависимости от программной библиотеки, интегрированной в устройство:
- Уязвимость обхода отзыва сертификатов (CVE-2026-115881): получила оценку опасности 9.1 (CVSS). Затрагивает версии с 3.4.5 по 6.1.0, использующие библиотеку OpenSSL. Проблема заключается в том, что сервер считывает список отзыва сертификатов (CRL), но не требует от библиотеки фактической проверки, что позволяет использовать отозванные (например, украденные) сертификаты без их обнаружения.
- Уязвимость ослабления шифрования: затрагивает версии, использующие библиотеку Mbed TLS. Эта уязвимость приводит к ослаблению шифрования некоторых соединений TLS 1.2, что может позволить злоумышленникам расшифровать записанные сеансы позже (автономная расшифровка).
- Уязвимость превышения длины цепочки сертификатов (CVE-2026-115884): получила оценку 7.4 (CVSS). Нацелена на версии, использующие LibreSSL, и позволяет злоумышленникам обойти ограничение максимальной длины цепочки сертификатов на серверах, принимающих сертификаты от любого центра сертификации.
Что важно знать пользователям и компаниям?
Реальная опасность заключается в «разрыве обновлений» между разработчиком программного обеспечения и производителем устройства. Хотя разработчик сервера (EmbedThis) выпустил версию 6.1.1 для устранения проблем с OpenSSL и Mbed TLS, это не означает, что затронутые устройства автоматически стали безопасными. Производители оборудования должны интегрировать это обновление в свое микропрограммное обеспечение (Firmware), а затем отправить обновления конечным пользователям.
FoxIO отметила, что крупные компании используют в своих устройствах сервер GoAhead, среди них: Lockheed Martin, Boeing, Siemens, Honeywell, GE, Oracle, HP, Canon, Comcast и D-Link, однако не уточняется, используют ли их текущие продукты уязвимые настройки.
Доступные способы защиты
FoxIO рекомендовала ряд технических мер в зависимости от типа библиотеки, используемой в устройстве:
- Для пользователей Mbed TLS: можно отключить наборы шифров DHE с ограниченными полями или перейти на использование библиотеки OpenSSL в качестве программной основы.
- Для пользователей LibreSSL: рекомендуется включить проверку центра сертификации с использованием доверенного пакета CA или обновиться до LibreSSL 4.x или OpenSSL.