GoAhead web sunucusundaki TLS açıkları sertifika doğrulamasını zayıflatıyor

Güvenlik firması FoxIO, bağlantılı cihazlarda yaygın biçimde gömülü olarak kullanılan EmbedThis'in hafif web sunucusu GoAhead'de, TLS bağlantılarının güvenliğini zayıflatan üç zafiyet açıkladı. SecurityWeek'in 28 Ekim 2026'da aktardığına göre en ciddi açık, bir sunucunun zaten iptal edilmiş istemci sertifikalarına güvenmeyi sürdürmesine yol açıyor. FoxIO, GoAhead'in nesnelerin interneti (IoT), operasyonel teknoloji (OT), güvenlik duvarı ve askeri sektörlerde yüz milyonlarca cihazda çalıştığını belirtiyor.

Neler oldu?

SecurityWeek'e göre FoxIO araştırmacısı Sébastien Féry bu hafta yayımladığı blog yazısında üç açığı belgeledi ve hepsine ilişkin danışma notları 12 Ekim'de yayımlandı. Açıkların hiçbiri etkilenen TLS el sıkışmasının tamamlanmasını engellemiyor; tehlikeli olmalarının nedeni de bu: reddedilmesi gereken bir bağlantı kabul ediliyor. FoxIO'nun kurucusu ve teknolojiden sorumlu yöneticisi John Althouse, yukarı akıştaki bir düzeltmenin cihaz üreticilerinin yama yayımladığı anlamına gelmediğini, çünkü bu adımın her üreticiye bırakıldığını vurguladı.

Teknik detaylar

SecurityWeek'e göre en ciddi açık olan CVE-2026-115881 (CVSS 9.1), OpenSSL veya uyumlu bir kütüphaneyle derlenmiş ve sertifika iptal listesiyle (CRL) karşılıklı TLS için yapılandırılmış GoAhead 3.4.5 ile 6.1.0 arası sürümleri etkiliyor. Danışma notuna göre sunucu CRL'yi okuyor ancak OpenSSL'e bunu uygulatmayı hiç söylemiyor; böylece kaybolan veya çalınan cihazlara ait olanlar da dahil iptal edilmiş sertifikalar, başlangıçta hiçbir uyarı olmadan kabul edilmeye devam ediyor.

CVE'si olmayan ve CVSS 5.9 ile derecelendirilen ikinci sorun, Mbed TLS kullanan GoAhead 4.0.2 ile 6.1.0 arası derlemeleri etkiliyor; FoxIO'ya göre bir kodlama hatası bazı TLS 1.2 bağlantılarını zayıflatıyor ve istemci kusurlu parametreleri kabul ederse kaydedilmiş oturumlar çevrim dışı çözülebiliyor. Üçüncü açık olan CVE-2026-115884 (CVSS 7.4) ise belirli LibreSSL sürümlerini kullanan derlemeleri etkiliyor ve bir sertifika zincir uzunluğu denetimini atlatıyor; ancak yalnızca istemci sertifikalarını herhangi bir makamdan kabul eden sunuculara karşı işe yarıyor.

Kimler etkileniyor?

FoxIO, ürünlerinde GoAhead kullanan üreticiler arasında Palo Alto Networks, Comcast, D-Link, HP, Siemens ve Boeing'i saydı; ancak bu şirketlerin cihazlarının savunmasız bir yapılandırma çalıştırıp çalıştırmadığını doğrulamadığını belirtti. SecurityWeek'e göre her açık, belirli TLS kütüphanesine ve sertifika denetimi kurulumuna bağlı olduğundan, her sorun için dağıtımların yalnızca bir kısmı risk altında. Haberde vahşi ortamda bilinen bir istismara rastlanmadığı belirtiliyor.

Ne yapmalı?

SecurityWeek'e göre 2 Ağustos'ta yayımlanan GoAhead 6.1.1, OpenSSL ve Mbed TLS sorunlarını gideriyor. Mbed TLS derlemeleri için yöneticiler sonlu alan DHE şifre takımlarını devre dışı bırakabilir veya OpenSSL arka ucuna geçebilir; LibreSSL sorunu içinse güvenilir bir sertifika makamı paketiyle yayıncı doğrulamasını etkinleştirmek ya da OpenSSL veya LibreSSL 4.x'e geçmek öneriliyor. GoAhead genellikle bir ürünün aygıt yazılımının parçası olarak dağıtıldığından, doğrudan güncelleme yapamayan cihaz sahiplerinin donanım üreticilerinden bir aygıt yazılımı düzeltmesi talep etmesi gerekiyor. FoxIO, savunmacıların açıktaki sunucuları bulmasına yardımcı olmak için parmak izleri ve kavram kanıtı kodu yayımladı.