Siber güvenlik şirketi FoxIO, "GoAhead" web sunucusunun Taşıma Katmanı Güvenliği (TLS) protokolünü işleme biçiminde üç güvenlik açığı olduğunu ortaya çıkardı. EmbedThis tarafından geliştirilen bu hafif sunucu, ağ cihazlarının, yazıcıların ve endüstriyel sistemlerin yönetim arayüzlerinde kullanıldığından, etki alanı oldukça geniştir; Nesnelerin İnterneti (IoT), Operasyonel Teknolojiler (OT), güvenlik duvarları ve hatta askeri sektörlerdeki yüz milyonlarca cihazda bulunmaktadır.
Keşfedilen Açıkların Detayları
Açıklar, cihazda entegre edilen yazılım kütüphanesine bağlı olarak ciddiyetleri ve çalışma mekanizmaları açısından çeşitlilik göstermektedir:
- Sertifika İptalini Atlatma Açığı (CVE-2026-115881): 9.1 (CVSS) ciddiyet puanı almıştır. OpenSSL kütüphanesini kullanan 3.4.5 ile 6.1.0 arasındaki sürümleri etkiler. Sorun, sunucunun Sertifika İptal Listesini (CRL) okumasına rağmen kütüphaneden bunu fiilen doğrulamasını istememesidir; bu da çalınanlar gibi iptal edilmiş sertifikaların tespit edilmeden kullanılmasına olanak tanır.
- Şifreleme Zayıflatma Açığı: Mbed TLS kütüphanesini kullanan sürümleri etkiler. Bu açık, bazı TLS 1.2 bağlantılarının şifrelemesini zayıflatarak saldırganların daha sonra kaydedilen oturumların şifresini çözmesine (Çevrimdışı Şifre Çözme) olanak tanıyabilir.
- Sertifika Zinciri Uzunluğunu Atlatma Açığı (CVE-2026-115884): 7.4 (CVSS) puanı almıştır. LibreSSL kullanan sürümleri hedefler ve saldırganların, herhangi bir yayıncıdan gelen sertifikaları kabul eden sunuculardaki maksimum sertifika zinciri uzunluğu sınırını aşmasına izin verir.
Kullanıcılar ve Şirketler İçin Ne Anlama Geliyor?
Gerçek tehlike, yazılım geliştiricisi ile cihaz üreticisi arasındaki "güncelleme boşluğunda" yatmaktadır. Sunucu geliştiricisi (EmbedThis), OpenSSL ve Mbed TLS sorunlarını gidermek için 6.1.1 sürümünü yayınlamış olsa da, bu durum etkilenen cihazların otomatik olarak güvenli hale geldiği anlamına gelmez. Cihaz üreticilerinin bu güncellemeyi ürün yazılımlarına (Firmware) entegre etmeleri ve ardından güncellemeleri son kullanıcılara göndermeleri gerekmektedir.
FoxIO, Lockheed Martin, Boeing, Siemens, Honeywell, GE, Oracle, HP, Canon, Comcast ve D-Link gibi büyük şirketlerin cihazlarının GoAhead sunucusuna dayandığını belirtmiş, ancak mevcut ürünlerinin savunmasız ayarları kullanıp kullanmadığını belirtmemiştir.
Mevcut Koruma Yolları
FoxIO, cihazda kullanılan kütüphane türüne göre çeşitli teknik önlemler önermiştir:
- Mbed TLS kullanıcıları için: Sınırlı alanlara sahip DHE şifreleme grupları devre dışı bırakılabilir veya arka uç olarak OpenSSL kütüphanesine geçiş yapılabilir.
- LibreSSL kullanıcıları için: Güvenilir bir CA paketi kullanarak yayıncı doğrulamasını etkinleştirmeniz veya LibreSSL 4.x ya da OpenSSL'e yükseltme yapmanız önerilir.