- Pagină de pornire
- /
- Articol
Mulțumim pentru feedback.
În acest articol
Feedback?Cisco elimină încrederea în anumite CA-uri rădăcină utilizate pentru validarea conexiunilor SIP sigure, în urma incidentului de securitate al autorității de certificare eMUdhra (CA) din octombrie 2026. Aplicarea pentru integrările SIP Webex Meetings afectate este planificată să înceapă pe 2 noiembrie 2026. Lansarea poate avea loc în etape. Planificați să finalizați modificările înainte de 2 noiembrie. Clienții ale căror lanțuri de certificate depind de autoritățile neîncrezătoare trebuie să înlocuiască certificatul sau lanțul afectat. În caz contrar, conexiunea SIP securizată afectată va eșua autentificarea TLS, atunci când politica de încredere actualizată este aplicată pentru acea conexiune.
Ce poate fi afectat
Integrări
-
Webex MeetingsEdge Audio: Dial-in și dial-out pentru întâlniri prin conexiunile SIP de întreprindere afectate vor înceta să funcționeze atunci când executarea va ajunge la acele conexiuni.
-
Săli de întâlnire pentru colaborare (CMR): conectarea dispozitivului video bazat pe SIP prin conexiunile SIP securizate afectate va eșua atunci când aplicarea va ajunge la acele conexiuni.
-
Infrastructura gestionată de client poate include Cisco CUBE, Expressway-E și alți controlori de frontieră de sesiune (SBC). Revizuiți atât sistemele primare, cât și sistemele redundante.
Aceste modificări vizează integrările SIP utilizând lanțurile de certificate afectate; alte metode de acces la întâlniri nu depind de aceeași cale de certificat SIP gestionată de client.
Autorități de certificare
Verificați dacă există lanțuri de certificate care depind de oricare dintre următoarele autorități:
-
EmSign Root TLS CA - G3
-
EMSign ECC Root CA - G3
-
EmSign Root CS CA - G3
-
Servicii de certificare AAA (rădăcină Comodo AAA Services)
Serviciile de certificare AAA nu au fost compromise, dar au semnat încruciș at intermediarii eMUdhra afectați și sunt incluse în acest răspuns de securitate. Unele certificate emise de Sectigo pot utiliza o cale de certificare semnată încrucișată AAA, chiar dacă certificatele clienților Sectigo în sine nu au fost compromise.
EmSign Root CA - G1 nu este inclus în această schimbare de neîncredere. Nu înlocuiți sau eliminați certificatele numai pentru că utilizează G1.
Verificați și înlocuiți certificatele sau lanțurile afectate
| 1 |
Identificați CUBE, Expressway-E sau SBC utilizate pentru integrarea Edge Audio afectată sau a întâlnirii bazate pe SIP. Înregistrați numele de gazdă real și portul SIP TLS configurat. Apoi, inspectați certificatul de identitate TLS instalat pe sistemul respectiv și orice certificate CA intermediare însoțitoare. Pe Expressway-E, certificatul serverului instalat poate fi vizualizat sub Întreținere > Secur server. Pentru CUBE și alte SBC-uri, utilizați procedura aplicabilă de inspecție a certificatului furnizorului. Repetați pentru sistemele de rezervă și redundante. |
| 2 |
De la un computer cu OpenSSL instalat și acces la rețea la ascultătorul SIP TLS, rulați exempl ul relevant:
Înlocuiți exemplul de nume de gazdă și port cu punctul final SIP TLS real; portul poate diferi în funcție de implementare. Dacă accesul TLS de intrare este restricționat, executați verificarea dintr-un sistem de management autorizat. Pe Expressway-E, portul SIP TLS utilizat cu Webex poate necesita un certificat client. Comanda se poate termina apoi cu o eroare, dar lanțul de certificate este în continuare afișat. Examinați intrările din lanțul de certificate, inclusiv subiectul (subiectele) și emitentul (i:). Căutați oricare dintre cele patru nume CA afectate, inclusiv un certificat UserTrust RSA Certification Authority emis de AAA Certificate Services. Exemplu de intrare în lanț cu semnătură încrucișată afectată:
|
| 3 |
Interpretați constatările:
|
| 4 |
Contactați furnizorul de certificate sau distribuitorul pentru un certificat de înlocuire sau un lanț de certificate alternativ care se termină la o rădăcină care nu este listată mai sus. Cereți furnizorului să confirme că lanțul de înlocuire este adecvat pentru integrarea Webex SIP.
Inspectați din nou lanțul instalat pentru a verifica dacă acesta nu mai depinde de autoritățile neîncrezătoare.
|
| 5 |
Validați conectivitatea întâlnirii:
Dacă persistă probleme de conectivitate cu certificatul sau SIP, contactați partenerul Cisco sau Cisco Technical Assistance Center (TAC). Furnizați ID-ul organizației Webex, serviciul afectat, sistemul afectat și numele de gazdă SIP, detaliile lanțului de certificate și orice mesaje de eroare TLS sau SIP. Nu partajați cheile private. |
Informații conexe
Pentru informații suplimentare, consultați următoarele:
