GoAhead TLS Açıkları: İptal Edilen Sertifikalar ve Oturum Şifrelemesi Sorunları

GoAhead web sunucusunda tespit edilen TLS açıkları, iptal edilen istemci sertifikalarının geçerliliğini sürdürebilmesine olanak tanıyor. Bu durum, özellikle OpenSSL arka ucu kullanan ve karşılıklı TLS (mutual-TLS) yapılandırmasına sahip sistemlerde yaşanıyor. Sunucu, istemci sertifikasını kontrol ederken, iptal edilen sertifikaların engellenmesi için ayarlanmış bir iptal listesi bulunmasına rağmen, bu kontrol işlemi varsayılan olarak aktif değil.

GoAhead ve Açıkların Etkisi

GoAhead, yönlendiriciler, yazıcılar, geçitler ve endüstriyel kontrol cihazları gibi donanımlar üzerinde yönetim sayfaları çalıştırmak için firmware'e entegre edilen küçük bir web sunucusudur. EmbedThis tarafından geliştirilen bu yazılım, dünya genelinde yüz milyonlarca cihazda kullanılmaktadır. Ancak, GoAhead 6.1.1 sürümü, 2 Ağustos 2026'da cihaz üreticilerine sunulduktan sonra, 12 Ekim'de kamuya açıklandı ve bu açıkları düzeltmektedir.

Açığın Teknik Detayları

Açık, GoAhead 6.1.0 sürümünde, OpenSSL 3.6.2 ile yapılan testlerde, iptal edilen bir sertifikanın geçerli kabul edilmesiyle ortaya çıkmıştır. Sunucu, başlangıçta iptal listesi dosyasını yüklerken herhangi bir hata raporlamadığı için, yapılandırmayı yapan bir operatör, iptal işleminin çalıştığını düşünebilir. Ancak, iptal edilmiş bir sertifika, örneğin çalınmış veya emekli olmuş bir cihaz, el sıkışma sürecini tamamlayarak geçerli bir kimlik gibi işlem yapmaya devam edebiliyor.

Güvenlik Açıkları ve Riskler

OpenSSL tavsiyeleri, iptal edilmiş istemci sertifikalarının sessizce kabul edildiğini belirtmektedir. Bu açığın istismar edilebilmesi için, yapılandırmanın OpenSSL arka ucunu kullanması, istemci sertifikalarının zorunlu olması, güvenilir bir sertifika otoritesi paketi ve iptal listesinin ayarlanmış olması gerekmektedir. Ayrıca, saldırganın güvenilir bir otorite tarafından imzalanmış ve iptal edilmiş olarak listelenmiş bir sertifikaya sahip olması gerekmektedir.

Mbed TLS arka ucu kullanan yapılandırmalar bu açıklardan etkilenmemektedir. Çünkü Mbed TLS, iptal kontrolünü ayrı bir kod yolu üzerinden gerçekleştirmektedir.

Diğer Güvenlik Sorunları

GoAhead 6.1.1 sürümü, toplamda 11 güvenlik tavsiyesini kapatmaktadır ve bunlardan üçü kritik olarak değerlendirilmiştir. Bunlar arasında, geçerli bir kullanıcı adı bilen bir saldırganın, kullanıcıların sakladığı parolalar Blowfish formatında ise, herhangi bir parola ile oturum açmasına olanak tanıyan bir oturum atlama açığı bulunmaktadır.

Güncelleme sonrası EmbedThis, aktif oturumların sonlandırılmasını, sunucunun yeniden başlatılmasını ve Blowfish formatında saklanan parolaların değiştirilmesini önermektedir.