Lỗ hổng TLS trong máy chủ GoAhead ảnh hưởng hàng trăm triệu thiết bị

Hãng bảo mật FoxIO vừa công bố ba lỗ hổng trong cách máy chủ web GoAhead xử lý TLS. Những lỗi này có thể khiến chứng chỉ máy khách đã bị thu hồi vẫn được chấp nhận, cho phép kẻ nghe lén giải mã một số phiên truyền thông, hoặc giúp kẻ tấn công lách giới hạn độ dài chuỗi chứng chỉ.

Máy chủ web nhúng và giao thức định tuyến Internet

GoAhead hiện diện ở đâu?

GoAhead là máy chủ web nhẹ do EmbedThis phát triển, thường chạy các giao diện quản trị của thiết bị mạng, máy in và hệ thống công nghiệp. Theo FoxIO, phần mềm này có mặt trên hàng trăm triệu thiết bị thuộc các lĩnh vực IoT, OT, tường lửa và quốc phòng.

Chuyên gia Sébastien Féry của FoxIO, người ghi nhận các lỗ hổng trong tuần này, cho biết mỗi lỗi chỉ ảnh hưởng đến một nhóm triển khai nhất định. Thiết bị GoAhead nào gặp rủi ro phụ thuộc vào thư viện TLS mà nhà sản xuất tích hợp vào firmware và cách họ cấu hình kiểm tra chứng chỉ.

Ba lỗ hổng và mức độ nguy hiểm

Lỗ hổng nghiêm trọng nhất – CVE-2026-115881 (điểm CVSS 9.1): ảnh hưởng đến GoAhead phiên bản 3.4.5 đến 6.1.0 khi được biên dịch với OpenSSL hoặc thư viện tương thích và cấu hình mTLS kèm danh sách thu hồi chứng chỉ (CRL). Máy chủ đọc danh sách này nhưng không bao giờ yêu cầu OpenSSL tra cứu. Hệ quả là chứng chỉ mà quản trị viên đã thu hồi – chẳng hạn chứng chỉ gắn với thiết bị bị đánh cắp – vẫn được chấp nhận, kể cả khi đã bật xác minh nhà phát hành. Không có cảnh báo nào khi khởi động về việc kiểm tra thu hồi không hoạt động.

Rủi ro nghe lén (điểm CVSS 5.9, chưa có mã CVE): nằm ở các bản GoAhead 4.0.2 đến 6.1.0 dùng Mbed TLS. Một lỗi lập trình làm suy yếu mã hóa của một số kết nối TLS 1.2, đủ để các phiên đã ghi lại có thể bị giải mã ngoại tuyến – nhưng chỉ khi máy khách chấp nhận các tham số bị lỗi.

Lỗi vượt giới hạn chuỗi chứng chỉ – CVE-2026-115884 (điểm CVSS 7.4): ảnh hưởng đến GoAhead đến phiên bản 6.1.0 biên dịch với LibreSSL 3.2.x hoặc 3.3.2 đến 3.3.6. Lỗi chỉ khai thác được trên máy chủ yêu cầu chứng chỉ máy khách nhưng chấp nhận chứng chỉ từ bất kỳ nhà phát hành nào, khi đó giới hạn độ dài chính là lớp bảo vệ duy nhất bị vượt qua.

"Không lỗi nào trong số này ngăn cản quá trình bắt tay bị ảnh hưởng hoàn tất", Féry viết.

Cách khắc phục

GoAhead 6.1.1, phát hành ngày 2/8, đã khắc phục các vấn đề liên quan đến OpenSSL và Mbed TLS. Các khuyến cáo cho cả ba lỗ hổng được công bố ngày 12/10. Với các bản dùng Mbed TLS, có thể tạm bảo vệ bằng cách tắt các bộ mã hóa DHE trường hữu hạn hoặc chuyển sang backend OpenSSL.

Với lỗi LibreSSL, FoxIO khuyến nghị bật xác minh nhà phát hành kèm bộ chứng chỉ CA tin cậy, hoặc chuyển sang OpenSSL hay LibreSSL 4.x. Hãng cũng phát hành mã chứng minh khái niệm và các dấu hiệu nhận diện để đội ngũ phòng thủ phát hiện máy chủ GoAhead lộ ra Internet và xác định thư viện TLS mà chúng sử dụng.

Chưa có bản vá cho thiết bị đầu cuối

Trong một bài đăng trên X, John Althouse – nhà sáng lập kiêm CTO của FoxIO – nêu tên Palo Alto Networks, Comcast, D-Link, HP, Canon, Honeywell, GE, Oracle, Siemens, Rockwell, Digi, Lockheed Martin và Boeing trong số các hãng có thiết bị dùng GoAhead. FoxIO chưa xác định liệu sản phẩm nào của họ dùng cấu hình dễ bị tổn thương.

Chuyên gia an ninh mạng tại hội thảo

Althouse cảnh báo rằng việc có bản sửa ở nguồn thượng nguồn "không có nghĩa là đã có bản vá cho thiết bị – điều đó phụ thuộc vào nhà sản xuất".

Đối với người dùng và doanh nghiệp Việt Nam, đây là lời nhắc nhở quen thuộc: nhiều thiết bị mạng, camera IP và thiết bị công nghiệp nhập khẩu chạy firmware đóng, khó cập nhật. Việc rà soát thiết bị đang lộ giao diện quản trị ra Internet, đổi mật khẩu mặc định và theo dõi thông báo từ nhà sản xuất là những bước cần làm ngay, đặc biệt với các hệ thống OT trong nhà máy hay hạ tầng trọng yếu.