CVE-2026-115881: 취소된 클라이언트 인증서를 허용하는 중대한 GoAhead TLS 결함

GoAhead 내장 웹 서버의 치명적인 취약점은 상호 TLS 인증 중 해지된 클라이언트 인증서를 유효 상태로 유지할 수 있게 하여 이전에 신뢰되었던 ID가 보호된 장치 및 서비스에 계속 액세스할 수 있게 할 수 있습니다.

CVE-2026-115881로 추적되는 이 결함은 공급업체가 할당한 CVSS 점수 9.1을 가지고 있으며, GoAhead가 OpenSSL 호환 TLS 백엔드를 사용하고 인증서 해지 목록이 구성된 경우 GoAhead 버전 3.4.5에서 6.1.0에 영향을 미칩니다. 해당 문제는 GoAhead 6.1.1에서 수정되었습니다.

GoAhead는 일반적으로 라우터, 프린터, 게이트웨이, 산업 시스템 및 기타 네트워크 연결 제품에 통합된 내장 웹 서버입니다. 하지만 모든 GoAhead 설치에 해당 취약점이 영향을 미치지는 않습니다. 취약점을 악용하려면 특정 상호 TLS 구성이 필요하며, 상업용 장치의 영향받는 인구는 확인되지 않았습니다.

이 취약점은 잘못된 인증서 해지 검증에서 비롯됩니다. GoAhead는 OpenSSL의 인증서 저장소에 구성된 인증서 해지 리스트(CRL)를 성공적으로 로드하지만 CRL 검사를 강제하기 위해 필요한 OpenSSL 플래그를 활성화하지 못합니다. 그 결과 명시적으로 해지된 인증서가 여전히 인증을 완료할 수 있습니다.

CVE-2026-115881을 탐지하기 위해 보안 팀은 소프트웨어 인벤토리, TLS 백엔드 식별, 인증서 텔레메트리 및 상호 TLS 인증 모니터링을 결합해야 합니다. 영향을 받은 서버가 해지된 인증서를 유효로 간주하기 때문에 악용은 명백한 인증 실패나 전통적인 악용 시그니처를 생성하지 않을 수 있습니다.

SOC Prime 사용자는 ID, 네트워크, 응용 프로그램 및 엔드포인트 텔레메트리를 보안 스택 전반에 걸쳐 연관시켜 악용 시도 및 의심스러운 인증 후 행동에 대한 커버리지를 강화할 수 있습니다.

클릭 탐지 자세히 보기 관련 탐지 콘텐츠 및 검색 로직에 액세스하기 위해. CVE-2026-115881을 탐지하려면 방어자들은 먼저 취약한 GoAhead 배포를 식별한 다음, 이미 해지되었어야 하는 인증서로 수행된 인증을 모니터링해야 합니다.

판매 문의

CVE-2026-115881 분석

이 취약점은 GoAhead가 OpenSSL 호환 TLS 백엔드와 인증서 해지 목록 검증을 통합하는 방식에 존재합니다.

상호 TLS에서는 양쪽 모두 디지털 인증서를 사용하여 인증을 수행합니다. 조직은 장치가 퇴역했을 때, 직원이 접근을 잃었을 때, 개인 키가 손상되었을 때 또는 관련 ID가 더 이상 신뢰되지 않아야 할 때 클라이언트 인증서를 해지할 수 있습니다.

CRL은 서버에 거부해야 할 인증서 목록을 제공합니다.

FoxIO의 연구원들은 GoAhead가 설정된 CRL을 OpenSSL을 통해 올바르게 로드하지만 X509_V_FLAG_CRL_CHECK 검증 플래그를 활성화하지 못한다는 것을 발견했습니다. CRL을 인증서 저장소에 로드하는 것만으로는 OpenSSL이 인증서 해지 상태를 확인하도록 하지 않습니다.

결과적으로 클라이언트 인증서가 구성된 해지 목록에 표시되더라도 인증 검증이 성공적으로 완료될 수 있습니다.

FoxIO는 OpenSSL 3.6.2를 사용하는 GoAhead 6.1.0에서 이 문제를 재현했습니다. 테스트 중에 신뢰할 수 있는 CA에서 서명한 해지된 클라이언트 인증서가 발급자 검증이 활성화된 상태에서도 상호 TLS 핸드셰이크를 성공적으로 완료했습니다. 서버는 해지 검사가 비효과적이라는 시작 경고를 생성하지 않았습니다.

이러한 무음 실패는 특히 관리자들이 CRL을 구성하는 것이 해지된 인증서가 거부될 것이라고 합리적으로 가정할 수 있기 때문에 중요합니다.

CVE-2026-115881의 세부 사항은 악용이 발생하기 위해 필요한 여러 조건을 보여줍니다:

• GoAhead는 OpenSSL 호환 TLS 백엔드를 사용해야 합니다.
• 배포는 클라이언트 인증서를 요구해야 합니다.
• 신뢰할 수 있는 CA 번들이 구성되어야 합니다.
• 명확한 보안 영향을 위해 인증서 발급자 검증이 활성화되어야 합니다.
• CRL이 구성되어야 합니다.
• 공격자는 이후에 해지된 신뢰할 수 있는 기관에서 발급한 인증서를 보유하고 있어야 합니다.

따라서 이 결함은 기본 GoAhead 설치에 대한 일반적인 인증 우회가 아닙니다.

CVE-2026-115881은 취약한 OpenSSL 호환 코드 경로를 사용하는 GoAhead 버전 3.4.5에서 6.1.0까지 CRL이 구성된 경우에 영향을 미칩니다. GoAhead 6.1.1은 해지 목록이 로드된 후 CRL 검사를 활성화하여 문제를 수정합니다.

공격 시나리오는 적이 이미 한때 유효했던 인증서를 보유한 경우에 가장 관련성이 높습니다. 예를 들어, 도난된 장치 인증서는 관리자가 철회한 후에도 여전히 사용할 수 있습니다. 그 후 공격자는 인증서 ID가 액세스할 권한이 있는 관리 인터페이스, API 또는 보호된 리소스에 인증할 수 있습니다.

인증서는 암호적으로 유효하며 예상된 CA에 의해 서명되었기 때문에 일반적인 인증서 체인 검증은 반드시 공격을 드러내지 않습니다. 누락된 통제는 구체적으로 해지 적용입니다.

FoxIO는 취약한 인증서 검증 동작을 보여주는 CVE-2026-115881 PoC를 기술 연구의 일환으로 발표했습니다. 연구원들은 GoAhead 설치를 식별하고 TLS 백엔드를 구별하는 데 도움이 되는 JA4Scan 지문도 발표했습니다.

이러한 지문은 노출 검출에 유용하지만 장치가 취약하다는 증거로 간주되어서는 안 됩니다. TLS 지문은 서버가 특정 GoAhead/백엔드 조합을 닮았다는 신호를 줄 수 있지만 실제 노출은 여전히 버전 및 컴파일 시간 구성을 따릅니다.

중대한 OpenSSL 문제는 두 가지 추가 GoAhead TLS 약점과 함께 공개되었습니다.

CVE-2026-115884로 추적되는 별도의 문제는 오래된 LibreSSL 검증기 동작에 영향을 미치며, 클라이언트 인증서가 필요하지만 발급자 검증이 비활성화된 특정 구성에서 GoAhead의 체인 깊이 제한을 우회할 수 있습니다.

또 다른 결함은 Mbed TLS를 사용하는 GoAhead 빌드에 영향을 미칩니다. 버퍼 길이 실수가 특정 TLS 1.2 DHE_RSA 핸드셰이크 중에 구성된 2048비트 디피-헬만 모듈러스를 단일 바이트로 축소할 수 있으며, 클라이언트가 잘못된 매개변수를 수락할 때 수동 감시자가 세션 키를 복구할 수 있도록 할 수 있습니다.

이들은 다른 전제 조건을 가진 별도의 취약성입니다. CVE-2026-115881을 평가할 때 이들과 혼동해서는 안 됩니다.

FoxIO의 공개 타임라인에 따르면 OpenSSL CRL 문제는 2026년 4월 30일에 보고되었습니다. 수정 사항이 포함된 GoAhead 6.1.1은 8월 2일에 장치 제조업체에 배포되었으며, 보안 권고 사항은 10월 12일에 공개되었습니다. FoxIO는 10월 26일에 자세한 기술 연구를 발표했습니다.

2026년 10월 28일 현재 CVE-2026-115881이 실제 공격에서 악용된 보고는 공급된 소스에서 없습니다.

결국, 특정 캠페인의 CVE-2026-115881 IOC, 즉 확인된 악성 IP 주소, 도메인, 페이로드 해시 또는 야생 악용과 연관된 악용 인프라는 없습니다.

수비수는 노출 및 행동 지표에 집중해야 합니다:

• GoAhead 버전 3.4.5에서 6.1.0 사이
• OpenSSL 호환 TLS 백엔드
• 상호 TLS 활성화됨
• 구성된 인증서 해지 목록
• 조직의 CRL에 시리얼 번호가 나오는 인증서를 사용하는 인증
• 퇴역 또는 손상된 장치 ID로부터의 예상치 못한 액세스
• 인증서 기반 인증 후 민감한 관리 활동
• 내장 관리 인터페이스에서 새로운 구성 변경이나 자격 증명 생성
• 예상치 못한 위치로부터의 관리 서비스에 대한 네트워크 액세스

PKI 환경을 중앙집중적으로 사용하는 조직은 TLS 인증을 인증서 생애 주기 정보와 연결해야 합니다. 이미 해지된 것으로 표시된 인증서를 포함하는 성공적인 인증 이벤트는 기본 서비스가 GoAhead인지 여부와 관계없이 고가치 신호입니다.

CVE-2026-115881 완화

기본적인 수정 방법은 GoAhead를 버전 6.1.1 이상으로 업그레이드하는 것입니다.

패치된 릴리스는 설정된 해지 목록을 로드한 후 OpenSSL CRL 실행을 활성화하여 해지된 것으로 나열된 인증서가 검증 중 거부되도록 합니다.

제품을 GoAhead로 직접 개발하는 조직의 경우, 새 펌웨어나 소프트웨어 빌드가 배포되기 전에 내장 서버 구성 요소를 업데이트하는 것이 우선되어야 합니다.

상업용 라우터, 게이트웨이, 프린터, 산업 장비 또는 기타 전자기기를 운영하는 최종 사용자의 경우 상황이 더 복잡합니다.

GoAhead는 일반적으로 공급업체 펌웨어에 내장되어 있습니다. 업스트림 GoAhead 프로젝트를 업데이트한다고 해서 설치된 장치가 자동으로 업데이트되는 것은 아닙니다. 장비 소유자는 따라서 GoAhead 6.1.1을 포함하거나 공급업체가 제공하는 동등한 수정 사항을 갖춘 펌웨어 릴리스를 제조업체로부터 받아야 합니다.

권장 CVE-2026-115881 완화 프로세스에는 다음이 포함되어야 합니다:

• GoAhead가 내장될 수 있는 장치 및 응용 프로그램 목록 작성
• 가능한 경우 설치된 GoAhead 버전을 결정합니다.
• 제품이 OpenSSL, Mbed TLS, LibreSSL 또는 다른 지원 백엔드를 사용하는지 확인합니다.
• 서로 TLS 인증이 활성화되어 있는지 확인합니다.
• CRL이 구성되어 있는지 확인합니다.
• 장비 제조사에 연락하여 제품에 취약한 구현이 포함되어 있는지 확인합니다.
• GoAhead 6.1.1 또는 벤더 지정 수정을 포함하는 펌웨어를 이용할 수 있게 되자마자 적용합니다.
• 관리 및 관리 인터페이스에 대한 액세스를 제한합니다.
• 관리 서비스를 신뢰할 수 있는 네트워크, VPN 또는 전용 관리 세그먼트로 제한합니다.
• 해당 장치에 인증할 권한이 있는 모든 클라이언트 인증서의 상태를 검토합니다.

조직은 CRL의 존재가 해지가 올바르게 작동하고 있음을 입증한다고 가정해서는 안 됩니다.

운영상 실용적인 경우, 관리자는 전용 테스트 인증서를 해지하고 장치가 이후의 상호 TLS 연결을 거부하는지 확인하여 자신만의 인프라를 테스트할 수 있습니다. 이 검증에 프로덕션 인증서를 사용해서는 안 됩니다.

즉각적인 패치가 불가능한 경우 네트워크 격리가 특히 중요해집니다. 신뢰할 수 없는 네트워크에 노출된 관리 인터페이스는 방화벽 규칙, 세분화, 액세스 제어 목록 또는 전용 관리 네트워크를 사용하여 제한해야 합니다.

조직은 또한 개인 키가 손상된 것으로 의심되어 해지된 인증서에 대해 PKI 환경을 검토해야 합니다. 해당 자격 증명은 가장 우선적으로 위험하며, 해당하는 개인 키를 가진 공격자는 여전히 취약한 서비스에 인증할 수 있습니다.

만약 손상이 의심된다면, 발급된 자격 증명을 해지하거나 교체하고, 관련된 비밀을 회전시키고, 관리 변경 사항을 점검하고, 인증서 ID를 통해 수행된 활동을 조사해야 합니다.

보안 팀은 또한 의심스러운 인증서 기반 액세스 후 발생한 장치 구성 변경, 계정 생성, 펌웨어 수정, 인증 기록 및 아웃바운드 연결을 검토해야 합니다.

CVE-2026-115881과 함께 공개된 다른 GoAhead TLS 취약점은 별도의 완화 고려 사항이 필요합니다.

Diffie-Hellman 문제의 영향을 받는 Mbed TLS 배포는 6.1.1로 업그레이드하거나, 유한 필드 DHE 암호 스위트를 비활성화하거나 OpenSSL 백엔드로 마이그레이션할 수 있습니다. CVE-2026-115884의 영향을 받는 LibreSSL 배포는 GoAhead를 업그레이드하거나, 신뢰할 수 있는 CA 번들과 발급자 확인을 활성화하거나, 최신 LibreSSL 또는 OpenSSL 구현으로 마이그레이션할 수 있습니다.

궁극적으로 디바이스 제조업체는 많은 최종 사용자가 수정 사항을 적용할 수 있기 전에 수정된 GoAhead 버전으로 영향을 받은 펌웨어를 재구축해야 합니다. IoT, OT, 네트워크 인프라 또는 내장 장치를 운영하는 조직은 따라서 단순히 업스트림 GoAhead 릴리스에 의존하기보다는 공급업체 고지를 추적해야 합니다.

면책 조항: 모든 CVE에 대한 탐지 콘텐츠가 제공되는 것은 아닙니다. 현재 커버리지를 SOC Prime 플랫폼에서 확인하세요. 관련 탐지 항목이 아직 제공되지 않았다면, 새로운 위협 인텔리전스 및 탐지 콘텐츠가 지속적으로 추가되고 있는지 다시 확인하세요.