Vyžadovaná akcia: Aktualizácia zabezpečenia autority certifikátu eMuDHRA pre Webex Calling Local Gateways

Po bezpečnostnom incidente certifikačného orgánu eMuDHRA (CA) v októbri 2026 Webex Calling odstránila dôvera v štyri základné CA. Ak váš kmeň Local Gateway založený na certifikáte závisí od jedného z týchto orgánov, nahraďte dotknutý certifikát alebo reťazec, aby ste zachovali bezpečné pripojenie TLS. Ak je dotknutý kmeň offline, môžu byť nedostupné prichádzajúce a odchádzajúce PSTN hovory a lokálne integrácie, ktoré od neho závisia.

Dotknuté koreňové certifikáty sú:

Koreňový eMsign TLS CA - G3
EMSign ECC Root CA - G3
Koreňový eMsign CS CA - G3
Služby certifikátov AAA (koreňové služby Comodo AAA Services)

AAA certifikačné služby neboli ohrozené. Krížovo však podpísala dotknuté sprostredkovateľské agentúry eMuDHRA, čím poskytla alternatívnu cestu dôvery k ohrozeným certifikátom.

Ovplyvnení sú zákazníci používajúci certifikátové systémy Local Gateway (LGW), ktorých certifikačné reťazce závisia od týchto orgánov. Patria sem certifikáty vydané spoločnosťou Sectigo, ktoré sa reťazujú na AAA Certificate Services prostredníctvom UserTrust.

Webex Callingteraz odmieta pripojenia TLS z postihnutých miestnych brán. Prichádzajúce a odchádzajúce PSTN volania a integrácie lokálnych volaní, ktoré sa spoliehajú na tieto brány, zlyhajú.

Z autorizovaného počítača, ktorý sa dostane k portu SIP TLS brány, spustite príslušný príkaz. Nahraďte lgw.example.com a 5061 názvom hostiteľa brány a portom TLS. Ak je externý prístup obmedzený, spustite príkaz z autorizovaného hostiteľa internej správy.

Linux alebo macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Príkazový riadok systému Windows:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Skôr ako začnete

Na zobrazenie trhov organizácie potrebujete prístup do Control Hub s povolením.
Názov hostiteľa brány a port SIP TLS pre každú primárnu, redundantnú a záložnú bránu.
Prístup k autorizovanému počítaču s OpenSSL, ktorý môže dosiahnuť každý koncový bod brány.

Identifikujte svoje kmene Local Gateway.

V Control Hub prejdite na položky Služ by> PSTN a smerovanie > Konfigurácie brány > Krunk.
Pre zákazníkov, ktorí používajú Cisco Calling Plan, je zoznam kľúča k dispozícii aj v časti Služ ba > Volanie > Smer ovanie hovorov > T runk.
Identifikujte kmene založené na certifikátoch a zaznamenajte nakonfigurovanú adresu FQDN alebo SRV, názov hostiteľa brány a port SIP TLS. Opakujte pre redundantné a záložné brány.

Skontrolujte certifikačný reťazec každej brány.

Spustite príslušný príkaz OpenSSL. Výstup zobrazuje certifikáty prezentované miestnou bránou; neoveruje nezávisle celý reťazec oproti obchodu Webex Calling dôvery.
Chyba podania ruky TLS alebo neúspešné overenie OpenSSL nedokazujú, že táto aktualizácia dôveryhodnosti ovplyvňuje bránu.

Skontrolujte subjekty certifikátov a vydavateľov.

V sekcii Reťazec certifikátov skontrolujte predmet (-y:) a vydavateľa (i:) každého certifikátu. Skontrolujte všeobecný názov (KN) a všetky položky v reťazci pre nedôveryhodné orgány uvedené vyššie.
Napríklad záznam s predmetom CN=UserTrust RSA Certification Authority a emitent CN=AAA Certificate Services identifikuje certifikát vydaný spoločnosťou AAA Certificate Services.

Interpretovať výsledky inšpekcie.

Výsledok certifikačného reťazca	Stav
Akýkoľvek riadok s: alebo i: zobrazuje služby certifikátov AAA alebo dotknutý orgán eMsign	Ovplyvnené. Opravte teraz.
Žiadny z dotknutých orgánov sa nezobrazí a kmeň je online v Control Hub	Nie je to ovplyvnené.
Žiadny z dotknutých orgánov sa nezobrazí, ale kmeň je offline	Obráťte sa na svojho partnera alebo Cisco TAC skontrolujte podľa zoznamu postihnutých zákazníkov spoločnosti Cisco.
Čas pripojenia vyprší alebo sa nevráti žiadny certifikačný reťazec	Nepresvedčivé. Overte prístup k sieti k portu TLS brány a skúste to znova.

Brána sa potvrdí, že nie je ovplyvnená iba vtedy, keď sa nezobrazí žiadny z uvedených koreňov a kmeň je online v Control Hub.

Nahradiť dotknutý reťazec certifikátov.

Obráťte sa na svojho poskytovateľa certifikátov a získajte náhradný certifikát alebo alternatívny reťazec, ktorý sa ukončí v koreňovom systéme, ktorým dôverujeWebex Calling. V mnohých prípadoch je možné zachovať existujúci certifikát brány a nahradiť iba medzireťazec. V prípade dotknutých nasadení Sectigo to môže zahŕňať nahradenie krížovo podpísaného certifikátu UserTrust AAA vhodnou alternatívou.
Nainštalujte aktualizovaný reťazec certifikátov do lokálnej brány a zopakujte kontrolu certifikátov.
Potvrďte, že sa kmeň zobrazuje Online v Control Hub a otestujte prichádzajúce a odchádzajúce hovory.

Overte pripojenie lokálnej brány.

Opakujte kontrolu OpenSSL a potvrďte, že náhradný reťazec už nezávisí od nedôveryhodných orgánov.
V Control Hub potvrďte, či sa kmeň zobrazuje Online.
Testujte prichádzajúce a odchádzajúce PSTN hovory a integrácie lokálnych volaní, ktoré používajú kmeň.
Opakujte overenie zálohových a redundantných brán.

Čo robiť ďalej

Ak sa reťazec javí ako správny, ale kmeň zostáva offline, poškodený alebo neznámy:

Skontrolujte, či je certifikát platný a správne nainštalovaný.
Skontrolujte kompletný stredný reťazec CA a očakávanú totožnosť certifikátu.
Skontrolujte chyby pripojenia TLS a overovania certifikátov na bráne.
Ak problém pretrváva, obráťte sa na poskytovateľa certifikátov, partnera Cisco alebo Cisco Technical Assistance Center (TAC). Keď kontaktujeteCisco Technical Assistance Center, uveďte ID organizácie, príslušné údaje o kmeňovom priestore, názov hostiteľa brány, informácie o reťazci certifikátov a príslušné chybové hlásenia TLS.

Súvisiace informácie:

Cisco AI Assistant

Ďakujeme za vašu spätnú väzbu.

Malé podniky

Podnik

Zariadenia

Riešenia pre

Zdroje

Spoločnosť