Встраиваемый веб-сервер GoAhead загрузил список отозванных сертификатов в свой стандартный TLS-бекенд, однако никогда не активировал проверку отзыва. Это означает, что отозванный клиентский сертификат все равно мог пройти аутентификацию на затронутых системах. Проблема заключается в версиях, использующих бекенд OpenSSL с взаимной аутентификацией TLS, где сервер проверяет клиентский сертификат и наоборот, а список отозванных сертификатов должен блокировать такие сертификаты.

Уязвимость может серьезно повлиять на безопасность систем, использующих GoAhead для обработки клиентских запросов. В условиях, когда сертификаты могут быть отозваны по различным причинам, отсутствие проверки на стороне сервера оставляет возможность для злоумышленников получить доступ к защищенным ресурсам.

Эксперты по кибербезопасности настоятельно рекомендуют всем пользователям GoAhead обновить свои системы и включить проверку отзыва сертификатов. Это поможет предотвратить несанкционированный доступ и повысить общую безопасность веб-приложений.

Проблема была выявлена в версиях, использующих OpenSSL, что также подчеркивает важность выбора надежных библиотек и компонентов для разработки программного обеспечения. Разработчики должны быть особенно внимательны к настройкам безопасности, чтобы избежать подобных уязвимостей в будущем.

На данный момент не сообщается о каких-либо активных атаках, использующих данную уязвимость, однако, учитывая ее серьезность, рекомендуется провести аудит систем и приложений, использующих GoAhead. Это поможет своевременно выявить и устранить потенциальные риски.

Источник новости:
The Hacker News

Читать полностью