GoAhead'deki TLS açıkları iptal edilmiş sertifikaların geçişine ve oturum çözülmesine izin veriyor
Orijinal başlık: GoAhead TLS Flaws Allow Revoked Client Certificates and Enable Session Decryption
Kısaca
Gömülü web sunucusu GoAhead'de, OpenSSL backend'i ve karşılıklı TLS kullanan sürümlerde iptal listesi yüklense de revokasyon kontrolünün hiç etkinleştirilmediği tespit edildi.
Ne oldu?
- Etkilenen kurulumlarda iptal edilmiş bir istemci sertifikası bile oturum açmayı geçebiliyor.
- Açık, sunucunun istemci sertifikasını (ve tersini) doğruladığı mTLS yapılandırmalarında ortaya çıkıyor.
Neden önemli?
GoAhead, IoT ve gömülü cihazlarda yaygın kullanıldığından, bu cihazları yöneten ekipler sürümlerini ve mTLS iptal yapılandırmalarını acilen denetlemeli.