FoxIO 披露 GoAhead 三个 TLS 漏洞，6.1.1 修复部分问题

安全公司 FoxIO 披露了嵌入式 Web 服务器 GoAhead 在 TLS 处理上的三个漏洞，可能导致已吊销的客户端证书仍被接受、部分流量可被离线解密，或绕过证书链长度限制。EmbedThis 发布的 6.1.1 版本修复了其中 OpenSSL 与 Mbed TLS 相关的问题，三个漏洞的安全公告已于 2026 年 10 月 12 日发布。其中吊销检查失效缺陷仅影响使用 OpenSSL 后端、配置了吊销列表做双向证书校验的构建；使用 Mbed TLS 后端的构建经独立代码路径检查吊销，不受影响。 针对第三个涉及 LibreSSL 的漏洞，6.1.1 未完全解决，FoxIO 建议启用基于可信 CA 包的签发者验证，或切换到 OpenSSL、LibreSSL 4.x；Mbed TLS 构建也可通过关闭有限域 DHE 密码套件或改用 OpenSSL 后端缓解。 6.1.1 为直接替换版本，需设备厂商重新构建并随固件更新下发，设备用户只有在厂商推送后才能获得。EmbedThis 建议升级后结束活动会话、重启服务器，并更换以 Blowfish 存储的密码。

AI 根据报道生成 · 7 小时前更新