# GoAhead: trei defecte TLS pun sub semnul întrebării autentificarea dispozitivelor IoT și industriale

URL: https://cyberjurnal.ro/articol/goahead-trei-defecte-tls-pun-sub-semnul-intrebarii-autentificarea-dispozitivelor-1f10549b52
Autor: Oprican Marius Edward
Publicat: 2026-10-28T20:28:44.422Z
Actualizat: 2026-10-28T20:28:44.422Z

Cercetătorii FoxIO au descris trei erori diferite în integrarea OpenSSL, LibreSSL și Mbed TLS din GoAhead. Impactul depinde de versiunea și configurarea firmware-ului.

Un certificat digital revocat ar trebui să însemne acces refuzat. În unele dispozitive care folosesc serverul web integrat GoAhead, această garanție a putut deveni iluzorie. O analiză FoxIO publicată în octombrie 2026 identifică trei greșeli independente în felul în care GoAhead integrează bibliotecile TLS OpenSSL, LibreSSL și Mbed TLS.

GoAhead este un server web embedded întâlnit în routere, imprimante, gateway-uri și echipamente industriale. Cercetătorii menționează o răspândire foarte mare a acestuia, însă **prezența GoAhead pe un dispozitiv nu înseamnă automat că dispozitivul este vulnerabil**. Condițiile diferă de la o problemă la alta.

## Prima problemă: certificate revocate care continuă să funcționeze

În integrarea compatibilă OpenSSL, un sistem configurat cu autentificare mutuală TLS (mTLS) și o listă de revocare a certificatelor (CRL) poate încă accepta certificate de client revocate. Evaluată la CVSS 9,1 și urmărită prin GOAHEAD-SA-2026-0006, eroarea afectează, în configurația relevantă, versiuni GoAhead 3.4.5–6.1.0.

Impactul este deosebit de sensibil în infrastructurile în care certificatele sunt folosite pentru a retrage accesul unui subcontractor, administrator sau echipament compromis.

## Alte două erori: lanțuri de certificate și criptare slăbită

A doua problemă afectează implementări cu un verificator LibreSSL vechi, în configurația `VERIFY_PEER=1` și `VERIFY_ISSUER=0`. În acel scenariu, restricția pentru adâncimea lanțului de certificate poate fi ocolită. Cercetătorii o clasifică la CVSS 7,4.

A treia privește integrarea Mbed TLS. O greșeală în lungimea unui parametru Diffie–Hellman poate reduce drastic securitatea negocierii cheilor în anumite sesiuni TLS 1.2 DHE_RSA. Dacă un client acceptă parametrii invalizi, un observator poate decripta traficul respectiv. Scorul publicat este CVSS 5,9. Nu toate sesiunile TLS sau configurațiile sunt afectate.

## De ce firmware-ul schimbă calendarul remedierii

GoAhead 6.1.1 include remedieri de securitate. Administratorii dispozitivelor IoT sau OT nu pot însă presupune că pot înlocui separat serverul web: acesta poate fi compilat direct în firmware. Soluția reală depinde de producător, versiunea firmware și opțiunile TLS activate la compilare.

Un inventar util trebuie să cuprindă modelul dispozitivului, firmware-ul, existența GoAhead, biblioteca TLS folosită și utilizarea certificatelor de client. Până la actualizare, este prudent ca interfețele administrative să nu fie expuse public și să fie restricționate prin segmentare de rețea.

În anumite configurații, FoxIO documentează și măsuri temporare, precum dezactivarea suitelor DHE afectate ori modificarea verificării emitentului certificatelor. Aceste măsuri trebuie evaluate pentru modelul concret, nu aplicate generic.

*Imaginea de copertă este o ilustrație editorială generată digital, nu o fotografie a incidentului sau un screenshot oficial.*

### Surse
- [FoxIO — analiza celor trei vulnerabilități TLS](https://foxio.io/blog/choose-your-backend-three-tls-bugs-in-goahead)
- [GoAhead — release notes și actualizări](https://github.com/embedthis/goahead/releases)