Peneliti Sébastien Féry dari FoxIO menerbitkan rincian tiga celah TLS di GoAhead, server web tertanam buatan EmbedThis yang dipakai di firmware perangkat. Celah terparah, CVE-2026-115881 dengan skor CVSS 9,1, membuat sertifikat klien yang sudah dicabut tetap diterima saat handshake mutual TLS. Perbaikannya tersedia di GoAhead 6.1.1.
Tiga celah dan syarat terdampaknya
CVE-2026-115881 (kritis, 9,1) menyangkut build dengan backend OpenSSL, pilihan bawaan GoAhead. Server memuat daftar pencabutan sertifikat (CRL), tetapi tidak pernah mengaktifkan pengecekannya. Versi 3.4.5 sampai 6.1.0 terdampak. Syaratnya cukup banyak: mutual TLS aktif, bundel CA terpasang, pengecekan penerbit menyala, CRL terkonfigurasi, dan penyerang memegang sertifikat klien yang dulu sah lalu dicabut. Build Mbed TLS tidak terkena celah ini.
CVE-2026-115884 (tinggi, 7,4) mengenai GoAhead 6.1.0 ke bawah yang berjalan di LibreSSL 3.2.x atau 3.3.2 sampai 3.3.6. Rantai sertifikat klien yang terlalu panjang diterima bila pengecekan penerbit dimatikan. Celah ketiga tidak punya nomor CVE dan berskor 5,9. Ia ada di backend Mbed TLS pada GoAhead 4.0.2 sampai 6.1.0, tempat parameter Diffie-Hellman terpotong akibat kesalahan panjang buffer. Sesi TLS 1.2 DHE_RSA menjadi lemah jika klien menerima parameter yang rusak. ECDHE dan TLS 1.3 tidak terdampak.
Posisi vendor dan status eksploitasi
Menurut garis waktu FoxIO, Féry melapor ke vendor pada 22 sampai 30 April. EmbedThis merilis GoAhead 6.1.1 ke pembuat perangkat pada 2 Agustus dan baru menerbitkan advisori pada 12 Oktober. Rilis itu menutup sebelas advisori, tiga di antaranya kritis, termasuk bypass login pada kata sandi berformat Blowfish. The Hacker News melaporkan per 27 Oktober belum ada laporan eksploitasi, nomor CVE belum muncul di NVD, dan skor keparahan berasal dari vendor sendiri. Belum ada pabrikan perangkat yang terkonfirmasi sudah mengirim firmware tambalan.
Langkah yang perlu diambil
Pengguna akhir biasanya tidak bisa tahu apakah perangkatnya terdampak, karena backend TLS dipilih saat kompilasi. Pantau pengumuman firmware dari pembuat router, kamera, atau perangkat industri Anda, lalu pasang pembaruan begitu tersedia.
Pengembang yang memakai GoAhead sebaiknya naik ke 6.1.1, membangun ulang, dan memulai ulang server. EmbedThis menyarankan mengakhiri sesi aktif dan mengganti kata sandi berformat Blowfish. Untuk celah LibreSSL, alternatifnya adalah mengaktifkan pengecekan penerbit dengan bundel CA tepercaya, atau memakai OpenSSL atau LibreSSL 4.x. Untuk celah Mbed TLS, nonaktifkan suite DHE finite-field atau pindah ke backend OpenSSL. Advisori CVE-2026-115881 tidak menyebut solusi sementara, jadi satu-satunya jalan adalah upgrade.
Sumber: FoxIO, advisori GitHub EmbedThis, dan The Hacker News. Gambar: FoxIO.