- Hjem
- /
- Artikkel
Takk for tilbakemeldingen.
I denne artikkelen
Tilbakemelding?Cisco fjerner tilliten til visse root-CA-er som brukes til å validere sikre SIP-tilkoblinger, etter sikkerhetshendelsen eMUdhra Certificate Authority (CA) i oktober 2026. Håndhevelse for berørte Webex Meetings SIP-integrasjoner er planlagt å begynne 2. november 2026. Utrullingen kan foregå i etapper. Planlegg å fullføre endringene dine før november 2. Kunder hvis sertifikatkjeder er avhengige av de mistroiske myndighetene, må erstatte det berørte sertifikatet eller kjeden. Ellers vil den berørte sikre SIP-tilkoblingen mislykkes med TLS-godkjenning når den oppdaterte tillitspolicyen håndheves for den tilkoblingen.
Hva kan bli påvirket
Integrasjoner
-
Webex MeetingsEdge Audio: Oppringing og oppringing av møter via berørte SIP- tilkoblinger for bedrifter slutter å fungere når håndhevingen når disse tilkoblingene.
-
Samarbeidsmøterom (CMR): SIP-baserte videoenhetstilkoblinger via berørte sikre SI P-tilkoblinger mislykkes når håndhevingen når disse tilkoblingene.
-
Kundeadministrert infrastruktur kan omfatte Cisco CUBE, Expressway-E og andre Session Border Controllers (SBC) . Gjennomgå både primære og redundante systemer.
Disse endringene er rettet mot SIP-integrasjoner ved hjelp av berørte sertifikatkjeder. Andre møtetil gangsmetoder er ikke avhengige av den samme kundeadministrerte SIP-sertifikatbanen.
Sertifikatautoriteter
Se etter sertifikatkjeder som er avhengige av en av følgende myndigheter:
-
EmSign Root TLS-CA — G3
-
EmSign ECC Root CA — G3
-
emSign Root CS CA - G3
-
AAA-sertifikattjenester (root for Comodo AAA-tjenester)
AAA Certificate Services ble ikke kompromittert, men det krysssignerte berørte eMUDHRA- mellomprodukter og er inkludert i denne sikkerhetsresponsen. Noen Sectigo-utstedte sertifikater kan bruke en AAA-krysssignert sertifiseringsbane, selv om Sectigo-kundesertifikatene ikke ble kompromittert.
EmSign Root CA - G1 er ikke inkludert i denne mistillitsendringen. Ikke erstatt eller fjern sertifikater utelukkende fordi de bruker G1.
Kontroller og bytt ut berørte sertifikater eller kjeder
| 1 |
Identifiser CUBE, Expressway-E eller SBC som brukes til den berørte Edge Audio- eller SIP-baserte møteintegrasjonen. Registrer det faktiske vertsnavnet og konfigurert SIP TLS-port. Kontroller deretter TLS-identitetssertifikatet som er installert på det systemet, og eventuelle medfølgende mellomliggende CA- sertifikater. På Expressway-E kan det installerte serversertifikatet vises under Vedlikehold > Sikker Serversertifikat. For CUBE og andre SBC-er, bruk gjeldende inspeksjonsprosedyre for leverandørsertifikat. Gjenta for sikkerhetskopiering og redundante systemer. |
| 2 |
Fra en datamaskin med OpenSSL installert og nettverkstilgang til SIP TLS-lytteren, kjør det aktuelle eksemplet:
Erstatt eksempelvertsnavnet og porten med det faktiske SIP TLS-endepunktet. Porten kan variere etter distribusjon. Hvis innkommende TLS-tilgang er begrenset, kjører du sjekken fra et autorisert administrasjonssystem. På Expressway-E kan SIP TLS-porten som brukes med Webex kreve et klientsertifikat. Kommandoen kan da ende med en feil, men sertifikatkjeden vises fortsatt. Gjennomgå sertifikatkjedeoppføringene, inkludert emnet (e:) og utsteder (i:). Se etter et av de fire berørte CA-navnene, inkludert et UserTrust RSA Certification Authority- sertifikat utstedt av AAA Certificate Services. Eksempel på en berørt krysssignert kjedeoppføring:
|
| 3 |
Tolk funnene:
|
| 4 |
Kontakt sertifikatleverandøren eller forhandleren din for å få et erstatningssertifikat eller en alternativ sertifikatkjede som slutter ved en rot som ikke er oppført ovenfor. Be leverandøren bekrefte at erstatningskjeden passer for Webex SIP-integrasjonen.
Inspiser den installerte kjeden igjen for å bekrefte at den ikke lenger avhenger av de mistroede myndighetene.
|
| 5 |
Valider møtetilkoblingen:
Hvis sertifikat- eller SIP-tilkoblingsproblemer vedvarer, kontakter du Cisco-partneren eller Cisco Technical Assistance Center (TAC). Oppgi Webex-organisasjons-ID, den berørte tjenesten, det berørte systemet og SIP-vertsnavnet, sertifikatkjededetaljene og eventuelle TLS- eller SIP-feilmeldinger. Ikke del private nøkler. |
Relatert informasjon
For ytterligere informasjon, se følgende:
