수억 대 IoT 기기를 지키는 GoAhead에서 TLS 버그 3개 발견

Three TLS Bugs in GoAhead

GoAhead는 라우터, 프린터, 산업용 제어기 등 수억 대 기기에 들어가는 임베디드 웹 서버다. FoxIO가 TLS 백엔드별로 독립적인 버그 세 가지를 공개했다. OpenSSL 호환 백엔드에서는 CRL을 불러오기만 하고 검사하지 않아 폐기된 클라이언트 인증서가 그대로 통과한다(CVSS 9.1). Mbed TLS 백엔드에서는 2048비트 DH 모듈러스 길이를 1바이트로 잘못 넘겨 공유 비밀이 8가지 후보로 줄어든다(CVSS 5.9). LibreSSL 레거시 검증기에서는 체인 깊이 제한이 무시된다(CVSS 7.4). 6.1.1에서 모두 수정됐다.