TLS Flaws Found in GoAhead Web Server Used in Hundreds of Millions of Devices
La firma de ciberseguridad FoxIO ha dado a conocer tres fallos de seguridad relacionados con el procesamiento de TLS en el servidor web GoAhead, desarrollado por EmbedThis. Este software opera en las interfaces de administración de diversos aparatos tecnológicos, abarcando equipos de redes, impresoras y sistemas industriales, y se encuentra instalado en una enorme cantidad de dispositivos en sectores como el internet de las cosas, tecnologías de operaciones, cortafuegos y el ámbito militar.
El primer fallo detectado, de carácter crítico, ocurre cuando el servidor se compila con bibliotecas compatibles y se configura con autenticación mutua mediante listas de revocación, pero omite la consulta a dicha lista, permitiendo que sigan funcionando credenciales previamente anuladas. La segunda falla consiste en un error de programación que debilita el cifrado en ciertas conexiones bajo una versión específica de TLS, posibilitando que las sesiones grabadas sean descifradas de forma externa si se aceptan los parámetros vulnerables. El tercer problema consiste en una vulnerabilidad que permite rebasar el límite de longitud de la cadena de certificados en circunstancias donde el servidor solicita certificados de cliente sin importar el emisor.
Para solucionar estos inconvenientes, se han publicado advertencias y se ha lanzado una nueva versión del servidor que corrige dos de los problemas, mientras que para el tercero se sugieren cambios en la configuración o en las bibliotecas utilizadas. Asimismo, se han puesto a disposición de los defensores herramientas y códigos de prueba para identificar servidores expuestos y la biblioteca TLS que utilizan. No obstante, se advierte que la existencia de una solución por parte del proveedor original no garantiza que los fabricantes de los dispositivos afectados hayan desplegado las actualizaciones correspondientes.