GoAhead, server uebi i integruar në pajisje rrjeti dhe industriale, ka tri dobësi TLS të identifikuara nga Sébastien Féry i FoxIO. Kryesorja prek konfigurimet OpenSSL me autentikim të ndërsjellë TLS, kontroll të lëshuesit dhe listë revokimi: lista ngarkohet, por kontrolli i revokimit nuk aktivizohet.
Si pasojë, një certifikatë e revokuar, por e nënshkruar nga një autoritet i besuar, mund të pranohet dhe të japë akses sipas identitetit të saj. Dobësia nuk prek konfigurimin standard ose Mbed TLS. EmbedThis e identifikon si CVE-2026-115881 dhe e vlerëson me 9.1; më 27 tetor, identifikuesi ende nuk ishte publikuar në databazat CVE dhe NVD.
Një problem tjetër në Mbed TLS mundëson dekriptimin e trafikut të regjistruar nëse klienti pranon shkëmbimin e dobët të çelësave. Shfletuesit kryesorë e refuzojnë; TLS 1.3 dhe ECDHE nuk preken. Në disa versione të vjetra LibreSSL, me certifikata klienti të detyrueshme por pa kontroll të lëshuesit, një zinxhir mbi kufirin prej 10 certifikatash mund të lejojë autentikim pa çelës të besuar.
GoAhead 6.1.1 korrigjon problemin OpenSSL, por përdoruesit varen nga prodhuesit për përditësimin e firmware-it; nuk dihet nëse ndonjëri e ka shpërndarë. Deri më 27 tetor nuk raportohej shfrytëzim në sulme. FoxIO ka publikuar kod demonstrues.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
