GoAhead-dəki TLS Qüsurları: Ləğv Edilmiş Sertifikatlar və Sessiya Deşifrələnməsi Riski

GoAhead Serverlərində Ciddi Təhlükəsizlik Zəifliyi Aşkarlanıb

Daxili sistemlərdə geniş istifadə olunan GoAhead embedded web serverində, ləğv edilmiş client certificate-lərin sistemə icazəsiz girişinə imkan yaradan və potensial olaraq sessiyaların deşifrələnməsinə yol açan kritik TLS boşluqları müəyyən edilib.

Zəifliyin Texniki Detalları

Məlumata görə, GoAhead serveri öz standart TLS backend-inə certificate revocation list (CRL) yükləsə də, revocation checking funksiyasını heç vaxt aktivləşdirməyib. Bu səbəbdən, ləğv edilmiş və etibarsız sayılan bir client certificate, təsirlənmiş konfiqurasiyalarda sistemə uğurla login ola bilirdi.

Bu zəiflik xüsusilə OpenSSL backend istifadə edən və mutual-TLS (serverin client certificate-i, clientin isə server sertifikatını yoxladığı) əlaqələri quran sistemlərdə müşahidə olunur. CRL-nin əsas məqsədi ləğv edilmiş sertifikatları bloklamaq olsa da, GoAhead-in bu funksiyanı düzgün şəkildə tətbiq etməməsi ciddi bir təhlükəsizlik boşluğu yaradır.

Potensial Risklər və Tövsiyələr

Ləğv edilmiş sertifikatların qəbul edilməsi, sistemə icazəsiz giriş cəhdlərini asanlaşdıra və əvvəllər kompromitə olmuş və ya etibarlılığını itirmiş sertifikatlarla belə həssas məlumatlara çatmağa imkan verə bilər. Nəticədə, bu cür zəifliklərdən istifadə edərək, hücumçular şifrələnmiş kommunikasiya sessiyalarını deşifrə edə və məlumatları ələ keçirə bilərlər.

Şirkətlərə və sistem administratorlarına GoAhead serverlərinin konfiqurasiyalarını diqqətlə yoxlamaq, revocation checking funksiyasının düzgün aktivləşdirildiyinə əmin olmaq və müvafiq təhlükəsizlik yeniləmələrini dərhal tətbiq etmək tövsiyə olunur.