Cybersécurité
GoAhead : le petit serveur web caché dans vos équipements a des soucis de TLS
Vous ne l’avez sans doute jamais installé, et pourtant il tourne probablement quelque part sur vos sites. GoAhead est un serveur web embarqué, utilisé depuis des années pour afficher l’interface d’administration de routeurs, d’imprimantes, d’automates ou d’équipements industriels. Cette semaine, la société FoxIO a publié une analyse détaillée de trois failles dans sa gestion du TLS, corrigées dans la version 6.1.1.
Trois failles, trois profils
- CVE-2026-115881 (9,1, critique) : avec le moteur compatible OpenSSL, GoAhead charge bien la liste de révocation des certificats… mais ne demande jamais à OpenSSL de la consulter. Résultat : un certificat client révoqué continue d’ouvrir la porte en authentification mutuelle (mTLS). Versions 3.4.5 à 6.1.0.
- CVE-2026-115884 (7,4) : avec certaines versions de LibreSSL et une configuration particulière, une chaîne de certificats trop longue passe la limite de profondeur.
- Sans CVE (5,9) : avec Mbed TLS, une coquille datant de 2018 affaiblit les paramètres Diffie-Hellman au point que la clé de session peut être retrouvée hors ligne. FoxIO l’a démontré en quelques essais. TLS 1.3 et ECDHE ne sont pas concernés.
La version 6.1.1 corrige aussi d’autres problèmes sérieux, dont un contournement de connexion pour les mots de passe stockés au format BF1. Bonne nouvelle : la configuration par défaut n’active ni mTLS ni liste de révocation, donc la faille critique touche surtout les déploiements… qui avaient fait l’effort de se durcir. Ironique, non ?
Le vrai problème : la chaîne de mise à jour
FoxIO cite parmi les utilisateurs de GoAhead des noms comme Siemens, Rockwell, Honeywell, D-Link, Canon, HP ou Palo Alto Networks. Aucun n’a été montré comme livrant une configuration vulnérable, et aucun n’avait publié d’avis au moment de l’article. C’est là toute la difficulté : un correctif côté éditeur ne met à jour aucun équipement. Chaque constructeur doit intégrer la nouvelle version, recompiler, tester et publier un firmware. Sur des automates ou des passerelles industrielles, cela peut prendre des mois.
Ce que je conseille
- Inventoriez les interfaces web d’administration présentes sur vos réseaux de sûreté et de GTB. FoxIO publie des empreintes JA4 qui aident à repérer les serveurs GoAhead et leur moteur TLS.
- Surveillez les avis de vos constructeurs dans les semaines qui viennent, et mettez les firmwares à jour dès qu’ils sortent.
- Ne comptez pas uniquement sur le TLS pour protéger une interface d’administration : réseau d’administration séparé, filtrage par adresse source, accès distant par VPN.
- Changez les mots de passe des équipements concernés après mise à jour, surtout si le constructeur mentionne le stockage BF1.
Pour moi, cette histoire illustre bien la réalité des équipements de terrain : on achète une caméra, un automate ou une passerelle, mais on hérite aussi de toute la pile logicielle qu’il embarque. Exiger du fournisseur une nomenclature logicielle (SBOM) et un engagement sur la durée de support, c’est désormais aussi important que de vérifier la fiche technique. Et avec NIS2 et le Cyber Resilience Act qui arrivent, ce ne sera bientôt plus une option.