إرشادات IOS XR - انعدام الثقة في حالات الطوارئ بسلطات الشهادات الوسيطة والجذور في المدن

المقدمة

تعرف على كيفية تحديد التعريض لشهادة eMap وتخفيفه على موجهات Cisco IOS XR، بما في ذلك عمليات التحقق من الشهادة وخطوات المعالجة.

معلومات أساسية

يقدم هذا المستند إرشادات التشغيل وإجراءات التخفيف المؤقتة لأنظمة توجيه مزود الخدمة من Cisco التي تشغل Cisco IOS XR، بما في ذلك:

• السلسلة ASR 9000 من Cisco
• السلسلة Cisco 8000 Series
• Cisco NCS 1000 Series
• Cisco NCS 4000 Series
• السلسلة Cisco NCS 5500 Series
• السلسلة Cisco NCS 6000 Series
• Cisco NCS 540/560 Series
• Cisco XRv 9000

تتعامل هذه الإجراءات مع التعرض المحتمل المرتبط بسلطات شهادات eMudhra المخالفة، كما هو موثق في Cisco Security Advisory Cisco-sa-emudhra-info-SCs22A1r.

يشرح المقال كيفية التعرف على الشهادات ذات الصلة في مخزن شهادات IOS XR Linux، وتقييم التعرض المحتمل، وتطبيق إجراءات تخفيف مؤقتة حيثما أمكن.

سياق الثغرات والتهديدات

بين 17 أكتوبر/تشرين الأول و 20 أكتوبر/تشرين الأول 2026، تم الكشف علنا عن خلل غير مسبوق في التشفير في إحتفال الجيل الرئيسي (KGC) في أبريل/نيسان 2025 في eMudhra. نظرا لتعطل العشوائية أثناء إنشاء المفاتيح، يمكن تحليل المفاتيح الخاصة لثمانية (8) مراجع شهادات مودرا الوسيطة (6 TLS تصدر CAs و 2 CAs لتوقيع التعليمات البرمجية) واستخلاصها من قبل جهات فاعلة غير مصرح لها في غضون ثوان.

عامل التوليف الحرج (التوقيع التبادلي Sectigo): في مايو 2025، تم توقيع جميع الشهادات المصدقة الوسيطة الثمانية المشتبه بها من قبل جذر Sectigo القديم (خدمات شهادات المصادقة والتفويض والمحاسبة (AAA). ونظرا لأن جذر Sectigo يتم دمجه بشكل شامل في المتاجر الموثوق بها العامة والمؤسسة، فإن الشهادات التي تصدرها هذه الشهادات CA الوسيطة التي تم اكتشافها بشكل افتراضي يتم الوثوق بها عبر أنظمة التشغيل وأكوام TLS بشكل عام، حتى إذا كان جذر eMoberg الأصلي غير موجود.

بنية شهادة Cisco IOS XR وتحليل التعريض

تستخدم تطبيقات IOS XR بشكل افتراضي مخزن شهادات XR. يوجد شهادتان ملطختان في حزمة IOS XR Linux CA. يتم إستخدامها فقط في ثلاثة سيناريوهات محددة، عندما:

• يتم إستخدام سطر أوامر Linux لتشغيل curl أو wget مقابل خادم HTTPS
• يتم الوصول إلى LDAP عبر TLS
• يتم تنفيذ Opflex (فقط على سلسلة ASR 9000)

تدقيق وتحديد نقاط الثقة والشهادات التي تم تكوينها

يحتوي أي إصدار Cisco IOS XR قبل 26.4.1 (الذي سيتم إصداره في 30 نوفمبر 2026) على شهادات CA هذه. للتحقق من أن هذه الشهادات موجودة على جهاز XR، قم بالوصول إلى XR Linux CLI وقم بالتحقق من محتوى ملف certificates.conf:

RP/0/RP0/CPU0:Router#run 
[xr-vm_node0_RP0_CPU0:~]$grep "Comodo_AAA_Services_root.crt\|emSign_ECC_Root_CA_-_G3.crt" /etc/ca-certificates.conf
mozilla/Comodo_AAA_Services_root.crt
mozilla/emSign_ECC_Root_CA_-_G3.crt

إذا تم ذكر شهادة أو كلا الشهادات الموجودة في الشهادات، ابحث عن مسار كلا الملفين:

[xr-vm_node0_RP0_CPU0:~]$find / -type f \( -name "Comodo_AAA_Services_root.crt" -o -name "emSign_ECC_Root_CA_-_G3.crt" \) 2>/dev/null
/usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
/usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt

إذا كانت هذه الملفات موجودة وتمت الإشارة إليها في certificates.conf، يمكن إستخدام جهازك.

إجراءات الإصلاح

تتألف خطوات التخفيف من:

• إضافة ! في بداية كل ملف certificate.conf
• إزالة الشهادات الموجودة 
• تحديث ملف الشهادة.conf

لإصدارات eXR:

إضافة ! في بداية كل ملف certificate.conf

[xr-vm_node0_RP0_CPU0:~]$cat /etc/ca-certificates.conf | grep "Comodo_AAA_Services_root.crt\|emSign_ECC_Root_CA_-_G3.crt
!mozilla/Comodo_AAA_Services_root.crt
!mozilla/emSign_ECC_Root_CA_-_G3.crt

إزالة الشهادات الموجودة 

[xr-vm_node0_RP0_CPU0:~]$rm /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
[xr-vm_node0_RP0_CPU0:~]$rm /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt

تحديث ملف الشهادة.conf

[xr-vm_node0_RP0_CPU0:~]$update-ca-certificates 
Updating certificates in /etc/ssl/certs...
rehash: warning: skipping ca-certificates.crt,it does not contain exactly one certificate or CRL
0 added, 2 removed; done.

على الرغم من أن هذا الإجراء ينتهي إلى كونه بسيطا، ولكنه يحتاج إلى تكراره على كل VM (default-SDR و sysadmin لكل عقدة) ونظام التشغيل المضيف للموجه.

يمكن أتمتة هذا الإجراء من خلال تشغيل برنامج نصي ل Shell:

• تحميل البرنامج النصي ونسخه إلى VM المسؤول على RP النشط

sysadmin-vm:0_RP0# copy harddisk:exr_remove_eMudhra_cert.sh harddisk: location 0/RP0/CPU0/VM1
Tue Oct 27 01:59:29.149 UTC+00:00
Copying harddisk:exr_remove_eMudhra_cert.sh to harddisk:
exr_remove_eMudhra_cert.sh 100% 1604 4.3MB/s 00:00 
File copied successfully

• الانتقال إلى VM المسؤول ل RP النشط

RP/0/RP0/CPU0:Router#admin
Last login: Mon Oct 26 22:46:01 2026 from 192.0.2.4
user connected from 192.0.2.4 using ssh on sysadmin-vm:0_RP0
sysadmin-vm:0_RP0# run
[sysadmin-vm:0_RP0:~]$

• تنفيذ البرنامج النصي

[sysadmin-vm:0_RP0:~]$./exr_remove_eMudhra_cert.sh
== Local sysadmin VM (sysadmin-vm:0_RP0) ==
-- /etc/ca-certificates.conf entries:
!mozilla/Comodo_AAA_Services_root.crt
!mozilla/emSign_ECC_Root_CA_-_G3.crt
found: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
deleted: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
found: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
deleted: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
-- Validation (expect: ls: cannot access '/etc/ssl/certs/...pem': No such file or directory):
ls: cannot access '/etc/ssl/certs/Comodo_AAA_Services_root.pem': No such file or directory
ls: cannot access '/etc/ssl/certs/emSign_ECC_Root_CA_-_G3.pem': No such file or directory
== Local host (my_host) ==
-- /etc/ca-certificates.conf entries:
!mozilla/Comodo_AAA_Services_root.crt
!mozilla/emSign_ECC_Root_CA_-_G3.crt
found: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
deleted: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
found: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
deleted: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
-- Validation (expect: ls: cannot access '/etc/ssl/certs/...pem': No such file or directory):
ls: cannot access '/etc/ssl/certs/Comodo_AAA_Services_root.pem': No such file or directory
ls: cannot access '/etc/ssl/certs/emSign_ECC_Root_CA_-_G3.pem': No such file or directory
== lc0_xr ==
-- /etc/ca-certificates.conf entries:
!mozilla/Comodo_AAA_Services_root.crt
!mozilla/emSign_ECC_Root_CA_-_G3.crt
found: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
deleted: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
found: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
deleted: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
-- Validation (expect: ls: cannot access '/etc/ssl/certs/...pem': No such file or directory):
ls: cannot access '/etc/ssl/certs/Comodo_AAA_Services_root.pem': No such file or directory
ls: cannot access '/etc/ssl/certs/emSign_ECC_Root_CA_-_G3.pem': No such file or directory
== rp0_xr ==
-- /etc/ca-certificates.conf entries:
!mozilla/Comodo_AAA_Services_root.crt
!mozilla/emSign_ECC_Root_CA_-_G3.crt
found: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
deleted: /usr/share/ca-certificates/mozilla/Comodo_AAA_Services_root.crt
found: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
deleted: /usr/share/ca-certificates/mozilla/emSign_ECC_Root_CA_-_G3.crt
-- Validation (expect: ls: cannot access '/etc/ssl/certs/...pem': No such file or directory):
ls: cannot access '/etc/ssl/certs/Comodo_AAA_Services_root.pem': No such file or directory
ls: cannot access '/etc/ssl/certs/emSign_ECC_Root_CA_-_G3.pem': No such file or directory
Done.

على كل VMs ونظام التشغيل المضيف، سيتم التعليق على أسماء الشهادات.conf، ستتم إزالة الشهادات وتحديثها.

إرتباط البرنامج النصي: https://cisco.box.com/s/mevtcydjarl2tz0rc39862x100b8x3mu

بالنسبة لإصدارات XR7:

 لا يزال إجراء إصدارات الفئة XR7 قيد الاستعراض.

المراجع

1. الاستشارة الأمنية من Cisco: cisco-sa-emudhra-info-scS22A1r
2. مدونة Cisco Talos: شهادات eMudhra الوسيطة