GoAhead web sunucusunda üç kritik TLS açığı tespit edildi
Öne çıkanlar
- GoAhead'in OpenSSL arka yüzü CRL bayrağını etkinleştirmediği için iptal edilen sertifikaları kabul etti.
- Mbed TLS modülündeki kodlama hatası 2048 bitlik DH anahtarını tek bayta düşürerek oturumların çözülmesine yol açtı.
- Açıklar GoAhead 6.1.1 sürümüyle giderildi.
FoxIO güvenlik araştırmacısı Sébastien Féry, yüz milyonlarca IoT, ağ ve endüstriyel cihazda çalışan gömülü web sunucusu GoAhead üzerinde üç bağımsız TLS güvenlik açığı belirledi. Sorunlar sunucunun OpenSSL, Mbed TLS ve LibreSSL kütüphaneleriyle entegrasyonundaki yapılandırma ve kodlama hatalarından kaynaklanıyor. Açıklar saldırganların iptal edilmiş sertifikalarla kimlik doğrulamasını aşmasına, şifrelenmiş oturumları çözmesine ve sertifika zincir derinliği sınırını geçmesine imkan tanıyor.
OpenSSL tabanlı kurulumlarda sertifika iptal listesi yüklenmesine rağmen iptal denetim bayrağı etkinleştirilmediği için geçersiz kılınan istemci sertifikaları kabul ediliyor. Mbed TLS arka ucundaki bir tampon boyutu yazım hatası ise Diffie-Hellman modülünü 2048 bitten tek bir bayta indiriyor. Bu durum TLS 1.2 DHE_RSA trafiğini izleyen pasif bir gözlemcinin oturum anahtarını birkaç denemede türeterek trafiği tamamen çözebilmesine yol açıyor. LibreSSL kullanan eski sürümlerde ise verifier kaynaklı bir hata nedeniyle derinlik limiti aşılabiliyor.
Söz konusu güvenlik açıkları GoAhead 3.4.5 ile 6.1.0 arasındaki sürümleri kapsıyor. Geliştirici ekip bildirilen açıkları kapatmak amacıyla GoAhead 6.1.1 sürümünü yayımladı. Uzmanlar cihaz yöneticilerine sunucuyu 6.1.1 veya sonraki sürümlere güncellemeyi, DHE şifreleme paketlerini devre dışı bırakmayı veya güvenilir sertifika sağlayıcı doğrulamalarını eksiksiz biçimde etkinleştirmeyi öneriyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.