Požadovaná akce: Aktualizace zabezpečení certifikační autority eMUdhra pro Webex Calling Local Gateways

Po incidentu zabezpečení certifikační autority eMUdhra (CA) v říjnu 2026 byla Webex Calling odstraněna důvěra ve čtyři kořenové certifikační autority. Pokud váš kmen místní brány založený na certifikátu závisí na jedné z těchto autorit, vyměňte dotčený certifikát nebo řetězec, abyste udrželi zabezpečené připojení TLS. Pokud je postižený kmen offline, příchozí a odchozí volání PSTN a místní integrace, které na něm závisí, mohou být nedostupné.

Dotčené kořenové certifikáty jsou:

emSign Root certifikační autorita TLS — G3
Kořenová certifikační autorita emSign ECC — G3
emSign Root CS CA - G3
Certifikační služby AAA (kořenový adresář služeb Comodo AAA)

Certifikační služby AAA nebyly ohroženy. Avšak křížově podepsal postižené zprostředkující certifikační autority eMUdhra a poskytl alternativní cestu důvěryhodnosti ke kompromitovaným certifikátům.

Jsou ovlivněni zákazníci, kteří používají kmeny LGW (Local Gateway) založené na certifikátech, jejichž řetězce certifikátů závisí na těchto autoritách. To zahrnuje certifikáty vydané společností Sectigo, které jsou propojeny s AAA Certificate Services prostřednictvím UserTrust.

Webex Callingnyní odmítá připojení TLS z postižených místních bran. Příchozí a odchozí volání PSTN a integrace místních volání, které se spoléhají na tyto brány, selžou.

Z autorizovaného počítače, který může dosáhnout portu SIP TLS brány, spusťte příslušný příkaz. Nahraďte lgw.example.com a 5061 názvem hostitele brány a portem TLS. Pokud je externí přístup omezen, spusťte příkaz z autorizovaného hostitele interní správy.

Linux nebo MacOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Příkazový řádek systému Windows:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Než začnete

K zobrazení kmenů organizace potřebujete přístup k ovládacímu centru s oprávněním.
Název hostitele brány a port SIP TLS pro každou primární, redundantní a záložní bránu.
Přístup k autorizovanému počítači s OpenSSL, který může dosáhnout každého koncového bodu brány.

Identifikujte své kmeny místní brány.

V Řídicím centru přejděte do nabídky Služby > PSTN a směrování > Konfigurace brány > Trunk.
Pro zákazníky, kteří používají plán volání Cisco, je seznam kmene k dispozici také v části Služba > Vol ání > Smě rování hovorů > Tr unk.
Identifikujte kmeny založené na certifikátech a zaznamenejte nakonfigurovanou adresu FQDN nebo SRV, název hostitele brány a port SIP TLS. Opakujte pro redundantní a záložní brány.

Zkontrolujte řetězec certifikátů každé brány.

Spusťte příslušný příkaz OpenSSL. Výstup zobrazuje certifikáty prezentované místní bránou; nezávisle neověřuje celý řetězec proti úložišti Webex Calling důvěryhodnosti.
Chyba handshake služby TLS nebo neúspěšné ověření OpenSSL neprokazuje, že brána je touto aktualizací důvěryhodnosti ovlivněna.

Zkontrolujte subjekty certifikátů a vydavatele.

V části Řetěz certifikátů zkontrolujte předmět (y) každého certifikátu a vydavatele (i:). Zkontrolujte obecný název (CN) a každý řetězový záznam, zda nedůvěřují výše uvedeným orgánům.
Například položka s předmětem CN=UserTrust RSA Certification Authority a emitent CN=AAA Certificate Services identifikuje certifikát vydaný společností AAA Certificate Services.

Interpretovat výsledky inspekce.

Výsledek řetězce certifikátů	Stav
Jakýkoli řádek s: nebo i: zobrazuje certifikační služby AAA nebo dotčenou autoritu emSign	Ovlivněno. Opravujte to hned.
Žádný z dotčených úřadů se neobjeví a kufr je online v Control Hubu	Není ovlivněno.
Žádný z postižených úřadů se neobjeví, ale kufr je offline	Obraťte se na svého partnera nebo Cisco TAC si ověřte podle seznamu dotčených zákazníků společnosti Cisco.
Vypršel časový limit připojení nebo není vrácen žádný řetězec certifikátů	Neprůkazný. Ověřte síťový přístup k portu TLS brány a zkuste to znovu.

Brána je potvrzena jako neovlivněná pouze tehdy, když se neobjeví žádný z uvedených kořenů a kmen je online v Řídicím centru.

Nahraďte dotčený řetězec certifikátů.

Obraťte se na svého poskytovatele certifikátů a získejte náhradní certifikát nebo alternativní řetězec, který končí u důvěryhodného kořenového adresáře. Webex Calling V mnoha případech lze stávající certifikát brány zachovat a nahradit pouze mezilehlý řetězec. U dotčených nasazení Sectigo to může zahrnovat nahrazení certifikátu UserTrust podepsaného křížem AAA vhodnou alternativou.
Nainstalujte aktualizovaný řetězec certifikátů do místní brány a opakujte kontrolu certifikátu.
Potvrďte, že kufr zobrazuje Online v Control Hubu a otestujte příchozí a odchozí hovory.

Ověřte připojení k místní bráně.

Opakujte kontrolu OpenSSL a potvrďte, že náhradní řetězec již nezávisí na nedůvěřujících autoritách.
V ovládacím centru zkontrolujte, zda je v kufru zobrazeno Online.
Otestujte příchozí a odchozí volání PSTN a integrace místních volání, které používají kmen.
Opakujte ověření pro zálohovací a redundantní brány.

Co dělat dál

Pokud se řetězec jeví jako správný, ale kufr zůstane Offline, Zhoršený nebo Neznámý:

Ověřte, zda je certifikát platný a správně nainstalován.
Zkontrolujte celý mezilehlý řetězec certifikační autority a očekávanou identitu certifikátu.
Zkontrolujte chyby připojení TLS a ověření certifikátů na bráně.
Pokud problém přetrvává, obraťte se na svého poskytovatele certifikátů, partnera společnosti Cisco nebo Cisco Technical Assistance Center (TAC). Při kontaktu uveďte ID organizaceCisco Technical Assistance Center, dotčené údaje kmene, název hostitele brány, informace o řetězci certifikátů a příslušné chybové zprávy TLS.

Související informace:

Cisco AI Assistant

Děkujeme za vaši zpětnou vazbu.

Malá firma

Podnik

Zařízení

Řešení pro

Zdroje

Společnost