Tóm tắt nhanh
- Cisco cảnh báo cần loại bỏ tin cậy đối với CA gốc và trung gian eMudhra.
- Khóa riêng của tám chứng thư CA trung gian bị suy yếu và có thể bị brute-force trong vài giây.
- Nhiều sản phẩm Cisco nằm trong phạm vi rà soát; sản phẩm không được liệt kê không bị ảnh hưởng theo Cisco.
- Áp dụng hướng dẫn Cisco theo sản phẩm hoặc cập nhật tương ứng; hiện chưa có workaround tạm thời.
Cisco yêu cầu loại bỏ tin cậy eMudhra sau lộ khóa CA trung gian bị suy yếu
Cisco cảnh báo rằng lỗi trong quy trình tạo khóa năm 2025 khiến khóa riêng của tám chứng thư CA trung gian eMudhra có thể bị brute-force trong vài giây. Hãy rà soát sản phẩm Cisco bị ảnh hưởng và áp dụng hướng dẫn loại bỏ tin cậy hoặc bản cập nhật tương ứng.
Nội dung bài viết
Cisco PSIRT cho biết lỗi trong quy trình tạo khóa của eMudhra khiến khóa riêng của tám chứng thư CA trung gian có thể bị brute-force trong vài giây. Xem advisory của Cisco để đối chiếu danh sách sản phẩm và hướng dẫn áp dụng.
Tổng quan và thông tin kỹ thuật
Sự cố bắt nguồn từ lỗi trong Key Generation Ceremony (KGC) vào tháng 4/2025. Lỗi này khiến khóa riêng của tám chứng thư CA trung gian eMudhra suy yếu nghiêm trọng. Cisco đang xác định sản phẩm và dịch vụ bị ảnh hưởng; một số sản phẩm cần loại bỏ tin cậy đối với CA eMudhra hoặc cập nhật phần mềm/chứng thư.
| Thông tin | Chi tiết |
|---|---|
| Nhà cung cấp cảnh báo | Cisco PSIRT |
| Sự kiện | Khóa riêng của tám chứng thư CA trung gian eMudhra có thể bị brute-force trong vài giây |
| CVE và CVSS | Không có trong hồ sơ |
| Workaround | Cisco xác nhận hiện chưa có workaround tạm thời |
Phạm vi ảnh hưởng
Cisco cho biết các sản phẩm không được liệt kê trong advisory không bị ảnh hưởng. Danh sách dưới đây nêu các sản phẩm, nhánh hoặc trạng thái xử lý có trong hồ sơ; thời điểm trong ngoặc là mốc được nêu cho bản phát hành hoặc biện pháp tương ứng.
| Sản phẩm/nhánh | Phạm vi hoặc hướng xử lý được nêu |
|---|---|
| IOS Software; IOS XE Software; IOS XE Software Guestshell | Áp dụng Cisco IOS XE and GuestShell CA Trust eMudhra Distrust Guide; IOS XE Software Guestshell có tham chiếu CSCwx51613. |
| Secure Firewall Adaptive Security Appliance; Secure Firepower Management Center (FMC) Software; Secure Firewall Threat Defense Software | Áp dụng Cisco Secure Firewall/Firewall Management Center/Adaptive Security Appliance guidance - Emergency Distrust of eMudhra Root and Intermediate Certificate Authorities. |
| Packaged Contact Center Enterprise (PCCE); Unified Contact Center Enterprise (CCE) | CSCwx36769. |
| Real Time Monitoring Tool (RTMT) | CSCwx45230. |
| Secure Email and Web Manager; Secure Email Gateway | Tự động cập nhật lên Trusted Root 2.8; cấu hình cập nhật thủ công dùng cli->updatenow. |
| Unified Customer Voice Portal (CVP) | Tự động cập nhật danh sách chứng thư không tin cậy qua Automatic Root Certificates Update. |
| Adaptive Security Device Manager (ASDM); Security Manager | 11.0.32.1 (Mar 2027). |
| ASR 5000 Series Software (StarOS) | Nov 15, 2026. |
| Collaboration Endpoints running RoomOS Software (Board, Desk, and Room Series) | RoomOS On-premises 11.41.2.3, 26.7.4.3; RoomOS Cloud October 2026 / 26.10.1 cho thế hệ hiện tại, 11.41.1 and later cho thế hệ trước. |
| Cyber Vision | 5.6.2 (Nov 2026). |
| Duo | Cloud remediated - no customer action required. |
| Duo Access Gateway; Duo Agentic Authorization Connector; Duo Network Gateway | 3.2.0; 1.0.1; 3.4.1, tương ứng. |
| Enterprise Chat and Email | ES202701 (Jan 2027). |
| Identity Services Engine (ISE); ISE Passive Identity Connector (ISE-PIC) | ISE 3.3P13 (Apr 2027), ISE 3.4P8 (Apr 2027), ISE 3.5P5 (Dec 2026). |
| Intersight Virtual Appliance | 1.1.8-2 (Nov 2026). |
| IOS XR Software | 26.4.1 (Nov 30, 2026). |
| IP Phone 8800 Series | 14.4(1)SR5 (Jan 2027), 14.4(1)ES1 (Nov 13, 2026). |
| IP Phone 6800, 7800 and 8800 Series with Multiplatform Firmware | 12-0-8MPP0001 (Dec 2026). |
| Meraki Dashboard | Cloud remediation in progress - no customer action required. |
| Meraki MV Smart Camera Firmware | Nov 18, 2026. |
| Network Services Orchestrator (NSO) - Container only impacted | NSO 6.4.16 (Dec 8, 2026), 6.6.10 (Nov 17, 2026), 6.7.5 (Nov 17, 2026), 6.8 (Nov 19, 2026); có thể nâng cấp gói ca-certificates bằng DNF theo hướng dẫn bên dưới. |
| Optical Site Manager | 6.4.1 (Nov 2026). |
| Policy Suite (CPS) | 26.2.0 (Oct 30, 2026). |
| Provider Mobility | 2026.04.0 (Nov 6, 2026). |
| Secure Access (Cloud) | Cloud remediated - no customer action required. |
| Secure Network Analytics | 7.6.0 and 7.6.1 Rollup patch (Nov 2026). |
| Smart PHY | 27.1 (Mar 16, 2027). |
| Spaces Connector | Nov 30, 2026. |
| Telemetry Broker | Remediation script (Nov 15, 2026). |
| ThousandEyes Enterprise Agent Application-hosting Agent; Docker Agent; Meraki Agent | Application-hosting Agent 5.2.2; Docker Agent và Meraki Agent 1.247.3. |
| ThousandEyes Enterprise Agent BrowserBot | Chromium version 156 (Nov 2026). |
| ThousandEyes Enterprise Agent Linux Agent | Customer remediation. |
| ThousandEyes Enterprise Agent Physical Appliance Agent; Virtual Appliance Agent | Auto-updated - no customer action required. |
| Ultra Cloud Core - Access and Mobility Management Function | 2026.04.0 (Nov 2026). |
| Ultra Cloud Core - Subscriber Microservices Infrastructure | 2026.04.1 (Nov 2026). |
| Ultra Packet Core - Network Repository Function; Session Management Function; User Plane Function | Nov 15, 2026. |
| Ultra Packet Core - Policy Control Function (PCF) | Nov 7, 2026. |
| Webex Calling | Cloud remediated. |
| Webex Meetings | Cloud remediation in progress - no customer action required. |
| MDS 9000 Series Multilayer Switches | Releases 9.4(1) through 9.4(5a) bị ảnh hưởng; code train 9.3 không bị ảnh hưởng. |
| Nexus 3000 Series Switches | Releases 9.3(9) through 9.3(18) bị ảnh hưởng; code train 10.x bị ảnh hưởng, ngoại trừ train 10.1. |
| Nexus 9000 Series Fabric Switches in ACI mode | Code trains 15.x và 16.x bị ảnh hưởng. |
| Nexus 9000 Series Switches in standalone NX-OS | Releases 9.3(9) through 9.3(18) bị ảnh hưởng; thông tin code train 10.x trong hồ sơ bị cắt. |
Cơ chế và tác động
Khóa riêng bị suy yếu có thể bị brute-force trong vài giây, ảnh hưởng đến độ tin cậy của các chứng thư CA liên quan. Cisco nêu hướng xử lý là loại bỏ tin cậy đối với CA eMudhra hoặc cập nhật phần mềm/chứng thư tùy sản phẩm.
Khắc phục và giảm thiểu
- Đối chiếu sản phẩm và nhánh đang sử dụng với advisory Cisco, rồi áp dụng hướng dẫn loại bỏ tin cậy CA eMudhra tương ứng.
- Nâng cấp lên bản phát hành hoặc áp dụng biện pháp xử lý được Cisco liệt kê cho sản phẩm. Một số mốc được lên lịch đến năm 2027; theo dõi advisory để biết thêm sản phẩm và bản sửa lỗi.
- Với Secure Email and Web Manager và Secure Email Gateway được cấu hình cập nhật thủ công, dùng
cli->updatenowđể tải Trusted Root 2.8. - Với NSO Container, có thể dùng DNF nâng cấp
ca-certificateslên2026.2.92_v9.0.319-100.3.el10_2.
Cisco xác nhận hiện chưa có workaround tạm thời.