Admin
Администратор
Исследователи выявили серьёзные уязвимости в веб-сервере GoAhead, используемом в прошивках миллионов устройств. Основная проблема заключается в том, что сервер загружает список отозванных сертификатов, но не проверяет их статус, позволяя использовать аннулированные клиентские сертификаты. Уязвимость затрагивает сборки с OpenSSL backend при включённой взаимной проверке TLS-сертификатов. Разработчики выпустили исправление в версии 6.1.1, опубликованной 12 октября 2026 года. Проблема была обнаружена исследователем Sébastien Féry из FoxIO, который также описал две дополнительные уязвимости в механизмах TLS. Одна из них позволяет злоумышленникам скомпрометировать сессию при использовании Mbed TLS backend из-за ошибки в передаче параметров Диффи-Хеллмана. Уязвимости получили высокие оценки опасности, наиболее критичная из них оценена в 9.1 балла по шкале CVSS. Производитель рекомендует обновить сервер до актуальной версии и сменить пароли, хранящиеся в формате Blowfish.
