Vulnérabilité
Des failles dans GoAhead TLS permettent l'utilisation de certificats clients révoqués et le déchiffrement des sessions
Le serveur web intégré de GoAhead chargeait une liste de révocation de certificats dans son backend TLS par défaut, mais n'activait jamais la vérification des révocations ; ainsi, un certificat client révoqué pouvait tout de même permettre la connexion sur les installations concernées. La faille concerne les versions utilisant le backend OpenSSL avec le protocole TLS réciproque, dans lequel le serveur vérifie le certificat du client et inversement, et où une liste de révocation est configurée pour bloquer les certificats révoqués.
Traduit automatiquement de l'anglais avec DeepL. Titre original : « GoAhead TLS Flaws Allow Revoked Client Certificates and Enable Session Decryption »