GoAhead TLS có lỗ hổng cho phép chứng chỉ bị thu hồi và giải mã phiên
"GoAhead web server versions 3.4.5 through 6.1.0 contain TLS vulnerabilities. CVE-2026-115881 allows acceptance of revoked client certificates when using the OpenSSL backend with mutual-TLS. Additional flaws exist in LibreSSL and Mbed TLS builds, potentially enabling certificate chain bypasses or session decryption. Upgrading to version 6.1.1 is the primary fix."
Giải mã phiên và chấp nhận chứng chỉ bị thu hồi có thể dẫn đến mất an ninh nghiêm trọng. Các cuộc tấn công man-in-the-middle có thể xảy ra.
Các doanh nghiệp sử dụng thiết bị bị ảnh hưởng có thể gặp phải gián đoạn dịch vụ và mất dữ liệu. Chi phí khắc phục và giảm thiểu rủi ro có thể đáng kể.
EmbedThis vừa phát hiện các lỗ hổng TLS trong GoAhead phiên bản 3.4.5 đến 6.1.0. CVE-2026-115881 cho phép chấp nhận chứng chỉ khách hàng đã bị thu hồi khi sử dụng backend OpenSSL với mutual-TLS. Các lỗ hổng khác trong LibreSSL và Mbed TLS có thể cho phép bỏ qua chuỗi chứng chỉ hoặc giải mã phiên. Bản cập nhật lên phiên bản 6.1.1 là giải pháp chính.
GoAhead là web server nhỏ được các nhà sản xuất thiết bị nhúng vào firmware để chạy các trang quản lý trên router, máy in, gateway và bộ điều khiển công nghiệp. Ước tính có hàng trăm triệu thiết bị sử dụng GoAhead. Lỗ hổng này được Sébastien Féry của FoxIO phát hiện và công bố ngày 26 tháng 10.
Trên các bản build bị ảnh hưởng, server tải danh sách thu hồi chứng chỉ (revocation list) nhưng không bật tính năng kiểm tra thu hồi. Do đó, một chứng chỉ khách hàng đã bị thu hồi vẫn có thể vượt qua quá trình xác thực và truy cập vào hệ thống. FoxIO đã chứng minh điều này trên GoAhead 6.1.0 sử dụng OpenSSL 3.6.2.
Bảng sau tóm tắt các lỗ hổng và cách khắc phục:
| TLS build | Vấn đề | Phiên bản bị ảnh hưởng | Giải pháp | |---|---|---|---| | OpenSSL (mặc định) | Danh sách thu hồi được tải nhưng không thực thi; chấp nhận chứng chỉ bị thu hồi. CVE-2026-115881 | 3.4.5 đến 6.1.0 | Nâng cấp lên 6.1.1 | | LibreSSL legacy verifier (3.2.x, 3.3.2–3.3.6) | Chấp nhận chuỗi chứng chỉ dài hơn giới hạn khi yêu cầu chứng chỉ khách hàng nhưng tắt kiểm tra issuer. CVE-2026-115884 | 6.1.0 trở xuống trên các phiên bản LibreSSL này | Nâng cấp lên 6.1.1, bật kiểm tra issuer với CA bundle tin cậy, hoặc sử dụng OpenSSL hoặc LibreSSL 4.x | | Mbed TLS | Lỗi gõ sai độ dài gửi giá trị Diffie-Hellman 1-byte thay vì 2048-bit, cho phép quan sát viên giải mã phiên. | 4.0.2 đến 6.1.0 | Nâng cấp lên 6.1.1, tắt các suite DHE finite-field, hoặc sử dụng backend OpenSSL |
Việc khắc phục phụ thuộc vào việc nhà sản xuất thiết bị cập nhật firmware. Hiện chưa rõ có nhà sản xuất nào đã phát hành bản cập nhật hay chưa.
Câu hỏi thường gặp
GoAhead là gì?
GoAhead là một web server nhỏ được các nhà sản xuất thiết bị nhúng vào firmware để chạy các trang quản lý trên các thiết bị như router, máy in và bộ điều khiển công nghiệp. Nó được sử dụng trong hàng trăm triệu thiết bị.
Lỗ hổng CVE-2026-115881 ảnh hưởng đến những ai?
Lỗ hổng này ảnh hưởng đến các thiết bị sử dụng GoAhead phiên bản 3.4.5 đến 6.1.0 với backend OpenSSL và mutual-TLS được bật. Nó cho phép chấp nhận chứng chỉ khách hàng đã bị thu hồi.
Cách khắc phục lỗ hổng này là gì?
Giải pháp chính là nâng cấp lên phiên bản GoAhead 6.1.1. Các giải pháp khác bao gồm bật kiểm tra issuer với CA bundle tin cậy hoặc sử dụng backend OpenSSL hoặc LibreSSL 4.x (tùy thuộc vào lỗ hổng).
Góc nhìn của Orange Cloud
Theo chúng tôi, các lỗ hổng này đặc biệt quan trọng với các doanh nghiệp Việt Nam sử dụng thiết bị nhúng có tích hợp GoAhead. Việc nâng cấp lên phiên bản 6.1.1 là cần thiết để giảm thiểu rủi ro. Các doanh nghiệp nên kiểm tra xem thiết bị của họ có sử dụng GoAhead và phiên bản nào, đồng thời liên hệ với nhà sản xuất để được hỗ trợ cập nhật. Điều đáng chú ý là việc xác định backend TLS đang sử dụng (OpenSSL, LibreSSL, Mbed TLS) không dễ dàng, vì nó được cấu hình trong quá trình biên dịch firmware.