O servidor web incorporado GoAhead carrega uma lista de revogação de certificados em seu backend TLS padrão, mas nunca ativa a verificação de revogação, permitindo que certificados de cliente revogados ainda passem pela autenticação em configurações afetadas. A falha ocorre em builds que usam o backend OpenSSL com TLS mútuo, onde o servidor verifica um certificado de cliente e vice-versa, e uma lista de revogação é configurada para bloquear certificados revogados.
Vulnerabilidade no GoAhead: O servidor web incorporado GoAhead falha em ativar a verificação de revogação de certificados de cliente.
Impacto: Permite que certificados de cliente revogados sejam aceitos, possibilitando a descriptografia de sessões.
Configurações Afetadas: Builds que usam o backend OpenSSL com TLS mútuo e lista de revogação configurada.
Recomendações
Atualizar o GoAhead para uma versão que corrija a falha.
Verificar e implementar a verificação de revogação de certificados de cliente.
Monitorar as configurações de TLS para detectar possíveis abusos.
