- Página inicial
- /
- Artigo
Obrigado pelos seus comentários.
Neste artigo
Comentários?A Cisco está removendo a confiança em certas CAs raiz usadas para validar conexões SIP seguras, após o incidente de segurança da autoridade certificadora (CA) eMudhra de outubro de 2026. A fiscalização das integrações SIP Webex Meetings afetadas está planejada para começar em 2 de novembro de 2026. O lançamento pode ocorrer em etapas. Planeje concluir suas alterações antes de 2 de novembro. Clientes cujas cadeias de certificados dependem de autoridades desconfiadas devem substituir o certificado ou a cadeia afetada. Caso contrário, a conexão SIP segura afetada falhará na autenticação TLS quando a política de confiança atualizada for aplicada a essa conexão.
O que pode ser afetado
Integrações
-
Webex MeetingsEdge Audio: a discagem e a discagem de reuniões por meio das conexões SIP corporativas afetadas deixarão de funcionar quando a fiscalização atingir essas conexões.
-
Salas de reunião de colaboração (CMR): as uniões de dispositivos de vídeo baseados em SIP por meio de conexões SIP seguras afetadas falharão quando a imposição atingir essas conexões.
-
A infraestrutura gerenciada pelo cliente pode incluir Cisco CUBE, Expressway-E e outros Session Border Controllers (SBCs). Analise os sistemas primários e redundantes.
Essas mudanças visam integrações SIP usando cadeias de certificados afetadas; outros métodos de acesso à reunião não dependem do mesmo caminho de certificado SIP gerenciado pelo cliente.
Autoridades de certificação
Verifique se há cadeias de certificados que dependam de qualquer uma das seguintes autoridades:
-
EmSign Root TLS CA - 3G
-
eMsign ECC Root AC - 3G
-
EmSign Root CS CA - 3G
-
Serviços de certificados AAA (raiz do Comodo AAA Services)
Os Serviços de Certificados AAA não foram comprometidos, mas a assinatura cruzada afetou os intermediários da eMudhra e está incluída nesta resposta de segurança. Alguns certificados emitidos pela Sectigo podem usar um caminho de certificação AAA com assinatura cruzada, mesmo que os certificados dos clientes da Sectigo em si não tenham sido comprometidos.
O EmSign Root CA - G1 não está incluído nessa mudança de desconfiança. Não substitua nem remova certificados somente porque eles usam G1.
Verifique e substitua os certificados ou cadeias afetadas
| 1 |
Identifique o CUBE, o Expressway-E ou o SBC usados para a integração de reunião baseada em SIP ou Edge Audio afetada. Registre o nome do host real e a porta SIP TLS configurada. Em seguida, inspecione o certificado de identidade TLS instalado nesse sistema e os certificados CA intermediários que o acompanham. No Expressway-E, o certificado do servidor instalado pode ser visualizado em Certificado do servidor. Para CUBE e outros SBCs, use o procedimento de inspeção de certificado do fornecedor aplicável. Repita o procedimento para sistemas redundantes e de backup. |
| 2 |
Em um computador com o OpenSSL instalado e acesso à rede ao ouvinte SIP TLS, execute o exemplo relevante:
Substitua o exemplo de nome de host e porta pelo seu endpoint SIP TLS real; a porta pode ser diferente de acordo com a implantação. Se o acesso TLS de entrada for restrito, execute a verificação em um sistema de gerenciamento autorizado. No Expressway-E, a porta SIP TLS usada com o Webex pode exigir um certificado de cliente. O comando pode então terminar com um erro, mas a cadeia de certificados ainda é mostrada. Analise as entradas da cadeia de certificados, incluindo o (s) assunto (s) e o emissor (i:). Procure qualquer um dos quatro nomes de CA afetados, incluindo um certificado da Autoridade de Certificação RSA da UserTrust emitido pela AAA Certificate Services. Exemplo de uma entrada de cadeia com assinatura cruzada afetada:
|
| 3 |
Interprete as descobertas:
|
| 4 |
Entre em contato com seu fornecedor ou revendedor de certificados para obter um certificado substituto ou uma cadeia de certificados alternativa que termine em uma raiz não listada acima. Peça ao fornecedor que confirme se a cadeia de substituição é apropriada para a integração do Webex SIP.
Inspecione a corrente instalada novamente para verificar se ela não depende mais das autoridades desconfiadas.
|
| 5 |
Valide a conectividade da reunião:
Se os problemas de conectividade do certificado ou do SIP persistirem, entre em contato com seu parceiro Cisco ou Cisco Technical Assistance Center (TAC). Forneça sua ID da organização Webex, o serviço afetado, o sistema afetado e o nome do host SIP, os detalhes da cadeia de certificados e qualquer mensagem de erro TLS ou SIP. Não compartilhe chaves privadas. |
Informações relacionadas
Para obter mais informações, consulte o seguinte:
