GoAheadのTLS実装に3件の問題―失効した証明書を受け入れる構成も

FoxIOは2026年10月26日、機器の管理画面などに使われるWebサーバーGoAheadで、TLS連携に3件の不備があると解説しました。提供元EmbedThisは12日に告知済みで、いずれも修正版は6.1.1です。全搭載機器が同じ条件で影響を受けるわけではありません。

OpenSSL互換構成の3.4.5〜6.1.0では、証明書失効リストを読み込んでも確認を有効にしていませんでした。クライアント証明書で認証し、発行元の信頼確認と失効リストを設定した環境では、失効済みの証明書と対応する鍵を持つ相手の接続を許してしまいます。

Mbed TLS構成の4.0.2〜6.1.0には、鍵交換のパラメータ長を誤る問題もあります。TLS 1.2のDHE_RSA接続で弱いパラメータを受け入れるクライアントが条件で、記録された通信を解読されるおそれがあります。TLS 1.3やECDHEはこの問題の対象外です。

残る1件は旧LibreSSLの検証器と発行元確認を無効にした構成で、証明書チェーンの長さ制限を回避できる問題です。機器管理者は製品名だけで影響を決めず、メーカーにGoAheadの版、TLS構成、修正ファームウェアを確認してください。組み込みソフトの修正版公開と、各機器への更新提供は別です。