Tres fallos de TLS en GoAhead comprometen certificados revocados

El servidor web GoAhead, desplegado en cientos de millones de dispositivos IoT, firewall y control industrial, presenta tres vulnerabilidades críticas en sus integraciones de TLS que permiten la aceptación de certificados de clientes revocados o la recuperación de sesiones cifradas. El fallo más grave, con una puntuación CVSS de 9.1, afecta a las versiones entre 3.4.5 y 6.1.0 del backend OpenSSL-compatible. En este caso, el servidor carga la lista de revocación de certificados (CRL) pero no la aplica, permitiendo que identidades revocadas mantengan acceso incluso con verificación de emisor activada. El segundo fallo, de severidad alta (CVSS 7.4), ocurre en las versiones 3.2.x y 3.3.2-3.3.6 del backend LibreSSL, donde se acepta una cadena de certificados excesivamente larga al deshabilitar la verificación de emisor. El tercer fallo, de media severidad (CVSS 5.9), reside en el backend Mbed TLS y se debe a un error tipográfico que reduce el módulo de Diffie-Hellman a un solo byte, permitiendo a un observador pasivo descifrar el tráfico capturado. La corrección para todas las versiones afectadas se encuentra en la versión 6.1.1, que implementa las verificaciones de revocación y parámetros de DH correctamente.