Potrebna radnja: Sigurnosno ažuriranje ovlaštenja certifikata eMuDHRA za Webex Calling Local Gateways

Nakon sigurnosnog incidenta tijela za certifikat eMuDHRA (CA) u listopadu 2026., Webex Calling uklonjeno je povjerenje u četiri temeljna CA. Ako vaš lokalni pristupnik temeljen na certifikatima ovisi o jednom od tih tijela, zamijenite zahvaćeni certifikat ili lanac kako biste održali sigurnu TLS povezanost. Ako je pogođeni trunk izvan mreže, dolazni i odlazni PSTN pozivi i lokalne integracije koje ovise o njemu možda neće biti dostupni.

Pogođeni korijenski certifikati su:

Korijen EMSign TLS CA - G3
EMSign ECC korijenski CA - G3
EmSign korijen CS CA - G3
AAA usluge certifikata (korijen Comodo AAA Services)

AAA usluge certifikata nisu ugrožene. Međutim, unakrsno je potpisao pogođene posredničke agencije eMUdhra, pružajući alternativni put povjerenja kompromitiranim certifikatima.

Utječe na kupce koji koriste mreže Local Gateway (LGW) temeljene na certifikatima čiji lanci certifikata ovise o tim tijelima. To uključuje certifikate izdane Sectigo koji se povezuju s AAA certifikatnim uslugama putem UserTrust.

Webex Callingsada odbija TLS veze s pogođenih lokalnih pristupnika. Ulazni i odlazni PSTN pozivi i integracije lokalnih poziva koje se oslanjaju na te pristupnike neće uspjeti.

S ovlaštenog računala koje može doći do SIP TLS porta pristupnika pokrenite primjenjivu naredbu. Zamijenite lgw.example.com i 5061 nazivom hosta pristupnika i TLS portom. Ako je vanjski pristup ograničen, pokrenite naredbu s ovlaštenog domaćina internog upravljanja.

Linux ili macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Windows naredbeni redak:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Prije nego što počnete

Potreban vam je pristup Control Hubu s dopuštenjem za pregled debla organizacije.
Naziv hosta pristupnika i SIP TLS port za svaki primarni, redundantni i sigurnosni pristupnik.
Pristup ovlaštenom računalu s OpenSSL-om koje može doći do svake krajnje točke pristupnika.

Identificirajte svoje prtljažnike Local Gateway.

U upravljačkom čvorištu idite na U sluge > PSTN i usmjeravanje > Konfiguracije pristupnika > Trunk.
Za korisnike koji koriste Cisco pozivni plan, popis pristupa dostupan je i na odjeljku U slu ga > Pozivanje > Usm jeravanje poziva > T runk.
Identificirajte debla temeljene na certifikatima i zabilježite konfiguriranu FQDN ili SRV adresu, naziv hosta pristupnika i SIP TLS priključak. Ponovite za suvišne i sigurnosne pristupnike.

Pregledajte lanac certifikata svakog pristupnika.

Pokrenite primjenjivu naredbu OpenSSL. Izlaz prikazuje certifikate koje je predstavio Local Gateway; ne provjerava neovisno cijeli lanac u odnosu na trgovinu Webex Calling povjerenja.
Pogreška TLS stiskanja ruke ili neuspješna OpenSSL verifikacija ne dokazuju da ovo ažuriranje povjerenja utječe na pristupnik.

Pregledajte subjekte certifikata i izdavatelje.

U odjeljku Lanac certifikata pregledajte predmet (e:) i izdavatelja (i:) svakog certifikata. Provjerite zajednički naziv (CN) i svaki unos u lancu za gore navedena tijela kojima se ne vjeruje.
Na primjer, unos s temom CN=UserTrust RSA certifikacijsko tijelo i izdavatelj CN=AAA Certification Services identificira certifikat koji je izdao AAA Certificate Services.

Protumačite rezultate inspekcije.

Rezultat lanca certifikata	Status
Bilo koja linija s: ili i: prikazuje usluge AAA certifikata ili zahvaćeno nadležno tijelo za eMsign	Pogođen. Odmah popravite.
Nitko od pogođenih tijela se ne pojavljuje, a prtljažnik je online u Control Hubu	Nije pogođeno.
Nitko od pogođenih tijela se ne pojavljuje, ali prtljažnik je izvan mreže	Obratite se svom partneru ili provjerite Cisco TAC prema Ciscovoj listi pogođenih kupaca.
Vrijeme povezivanja je isteklo ili se ne vraća lanac certifikata	Neuvjerljivo. Provjerite mrežni pristup TLS priključku pristupnika i pokušajte ponovo.

Potvrđuje se da pristupnik nije pogođen samo kada se nijedan od navedenih korijena ne pojavi, a deblo je online u Control Hubu.

Zamijenite pogođeni lanac certifikata.

Obratite se svom davatelju certifikata kako biste dobili zamjenski certifikat ili alternativni lanac koji prestaje u korijenu kojem vjerujeWebex Calling. U mnogim slučajevima postojeći certifikat pristupnika može se zadržati i zamijeniti samo međulanac. Za pogođene implementacije Sectigo to može uključivati zamjenu AAA-unakrsnog UserTrust certifikata odgovarajućom alternativom.
Instalirajte ažurirani lanac certifikata na lokalni pristupnik i ponovite provjeru certifikata.
Potvrdite da se prtljažnik prikazuje Online u Control Hubu i testirajte dolazne i odlazne pozive.

Provjerite povezanost lokalnog pristupnika.

Ponovite OpenSSL inspekciju i potvrdite da zamjenski lanac više ne ovisi o nepovjerljivim vlastima.
U Control Hubu potvrdite da se prtljažnik prikazuje Online.
Testirajte dolazne i odlazne PSTN pozive i integracije lokalnih poziva koje koriste trunk.
Ponovite provjeru valjanosti za sigurnosne kopije i suvišne pristupnike.

Što učiniti sljedeće

Ako se lanac čini ispravnim, ali prtljažnik ostaje izvan mreže, oštećen ili nepoznat:

Provjerite je li certifikat valjan i ispravno instaliran.
Provjerite kompletan srednji CA lanac i očekivani identitet certifikata.
Pregledajte pogreške TLS povezivanja i provjere valjanosti certifikata na pristupniku.
Obratite se svom davatelju certifikata, Ciscovom partneru ili Cisco Technical Assistance Center (TAC) ako se problem nastavi. Kada kontaktirateCisco Technical Assistance Center, navedite ID organizacije, pogođene podatke o trupcu, naziv hosta pristupnika, podatke o lancu certifikata i relevantne TLS poruke o pogrešci.

Povezane informacije:

Cisco AI Assistant

Hvala na povratnim informacijama.

Malo poslovanje

Poduzeće

Uređaji

Rješenja za

Resursi

Tvrtka