Comprendre l'impact de la vulnérabilité Apache Log4j dans la solution Cisco Contact Center

Introduction

Ce document décrit l'impact de la vulnérabilité Apache Log4j sur la gamme de produits Cisco Contact Center (UCCE).

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Produit Cisco Unified Contact Center version 11.6 et ultérieure.

Informations générales

Apache a récemment annoncé une vulnérabilité dans le composant Log4j. Il est largement utilisé dans la solution de centre de contacts Cisco et Cisco participe activement à l'évaluation de la gamme de produits pour vérifier ce qui est sûr et ce qui est affecté.

Note:  Plus d'informations sont disponibles ici : Cisco Security Advisory - cisco-sa-apache-log4j

Ce document présente plus d'informations au fur et à mesure qu'il devient disponible.

Application	ID défaut	11.6.(2)	12.0(1)	12.5(1)	12.6(1)
UCCE/ICM	CSCwa47273	Correctif - 11.6(2)_ES84 LisezMoi	Correctif - 12.0(1)_ES91 LisezMoi	Correctif - 12.5(1)_ES101 LisezMoi Remarque 1 : Correctif ES_55 Requis, référez-vous au document de migration OpenJDK Remarque 2 : Vérification de la version de Tomcat - Reportez-vous à la section « Vérification de la version de Tomcat sur les serveurs ICM » ci-dessous	Correctif - 12.6(1)_ES17 LisezMoi
PCCE	CSCwa47274	Correctif - 11.6(2)_ES84 LisezMoi	Correctif - 12.0(1)_ES91 LisezMoi	Correctif - 12.5(1)_ES101 LisezMoi Remarque 1 : Correctif ES_55 Requis, référez-vous au document de migration OpenJDK Remarque 2 : Vérification de la version de Tomcat - Reportez-vous à la section « Vérification de la version de Tomcat sur les serveurs ICM » ci-dessous	Correctif - 12.6(1)_ES17 LisezMoi
CTIOS		Non affecté	Non affecté	Non affecté	Non affecté
Application	ID défaut	11.6(1)	12.0(1)	12.5(1)	12.6(1)
CVP	CSCwa47275	Correctif - 11.6(1) ES16 Lisez	Correctif - 12.0(1)_ES10 LisezMoi	Correctif - 12.5(1)_ES25 LisezMoi	Correctif - 12.6(1)_ES9 LisezMoi
VVB	CSCwa47397	Non affecté	Non affecté	Correctif - 12.5(1)_ES12 Lisez	Correctif - 12.6(1)_ES03 LisezMoi * correctif d'utilisation publié le 29 décembre 2021
Call Studio	CSCwa54008	Callstudio_11.6_Log4j_fix LisezMoi	Callstudio_12.0(1)_Log4j_fix LisezMoi	Callstudio_12.5(1)_Log4j_fix LisezMoi	Callstudio_12.6(1)_Log4j_fix LisezMoi
Finesse	CSCwa46459	Non affecté	Non affecté	Non affecté	Correctif - 12.6(1)_ES3 LisezMoi
CUIC	CSCwa46525	Non affecté	Non affecté	Non affecté	Correctif - 12.6(1)_ES03 LisezMoi
Données en direct (LD)	CSCwa46810	Correctif - 11.6.1_COP23 LisezMoi	Correctif - 12.0(1)_ES18 LisezMoi	Correctif - 12.5(1)_ES13 LisezMoi	Correctif - 12.6(1)_ES03 LisezMoi
IDS		Non affecté	Non affecté	Non affecté	Non affecté
Co-res CUIC (CUIC-LD-IDS)	CSCwa46810	Correctif - 11.6.1_COP23 LisezMoi	Correctif - 12.0(1)_ES18 LisezMoi	Correctif - 12.5(1)_ES13 LisezMoi	Correctif - 12.6(1)_ES03 LisezMoi
CloudConnect	CSCwa51545			Non affecté	Correctif - 12.6(1)_CC_COP
CEE	CSCwa47392	Non affecté	Correctif - 12.0(1)_ES6_ET2 LisezMoi	Correctif - 12.5(1)_ES3_ET2 LisezMoi	Correctif - 12.6(1)_ET2 LisezMoi
CCMP	CSCwa47383	Non affecté	Non affecté	Correctif - 12.5(1)_ES6 LisezMoi	Patch-12.6(1)_ES3 LisezMoi
CCDM	CSCwa47383	Non affecté	Non affecté	Correctif - 12.5(1)_ES6 LisezMoi	Correctif - 12.6(1)_ES3 LisezMoi
Google CCAI	Le jeu de fonctionnalités CCAI confirmé par Google n'est pas affecté
Gestion De L'Expérience Webex (WxM)	WxM n'ayant pas de log4j utilisateur, la solution n'est pas affectée
Plateforme de collaboration client (CCP)	CSCwa47384	Non affecté	Non affecté	Non affecté	Non affecté

* Les dates de publication sont sujettes à modification et seront mises à jour au besoin jusqu'à la publication du correctif 

Vérification de la version Tomcat sur les serveurs ICM

1. Sur les serveurs ICM (routeurs, enregistreurs, PG et AW), vérifiez la version de tomcat installée en exécutant le fichier "<ICM HOME>\tomcat\bin\version.bat« .
2. Si la version tomcat est 9.0.37 ou supérieure, procédez comme suit pour corriger le défaut "CSCvv73307"
3. Installez le correctif ES_81 sur le serveur. S'il y a des ES supérieurs à 81 sur le serveur ICM, assurez-vous d'abord de désinstaller ces ES

      - 12.5(1)_ES81 Patch - https://software.cisco.com/download/specialrelease/0aab225ecde522734cc6c6491ad1eb42

      - 12.5(1)_ES81 ReadMe - https://www.cisco.com/web/software/280840583/158250/Release_Document_1.html

4. Après l'installation réussie de ES_81, confirmez à nouveau la version de tomcat en exécutant le fichier bat "<ICM HOME>\tomcat\bin\version.bat"
5. La version de Tomcat doit rester identique à l'étape 1. Si la même version continue avec la réinstallation ordonnée de tous les ES souhaités jusqu'au correctif log4j inclus, à savoir ES_101

Foire aux questions

Q.1 À quelle fréquence le document est-il révisé en fonction des renseignements les plus récents? 

Réponse : le document est examiné quotidiennement et mis à jour le matin (heures américaines)

Q.2 Les versions d'ICM sont-elles les suivantes ? (Routeur, Logger, AW, PG) 10.x, 11.0(x) , 11.5(x) et 11.6(1) affectés ? 

Réponse : Ces versions ne sont pas affectées car elles utilisent la version 1.X de log4j.

Note: Le tableau des avis répertorie des bogues spécifiques pour les versions en cours de maintenance. Les versions qui ne sont pas mises en surbrillance sont en fin de maintenance logicielle et ne sont pas prises en compte pour révision.    

Q.3 Quand les correctifs sont-ils publiés ?

Réponse : Le tableau des avis indique les dates provisoires de publication des correctifs. Le tableau sera mis à jour avec les liens connexes dès qu'ils seront disponibles. 

Q.4 Quelle solution de contournement peut être mise en oeuvre jusqu'à ce que la correction soit prête ?

Réponse : Il est recommandé de suivre l'avis du PSIRT et de s'assurer que les correctifs sont appliqués dès que possible une fois publiés pour les versions concernées. 

Q.5 CUIC Autonome 11.6(1) n'est pas affecté par log4j, Cependant le readme de ES indique son correctif requis sur le serveur - pourquoi ? 

Réponse : ce ES n'est pas un ES autonome ayant seulement un correctif log4j, ce ES23 est un ES cumulatif comme nous l'aurions pour n'importe quel produit VOS. c'est-à-dire qu'il n'existe qu'un SEE cumulatif et le plus récent disponible pour le Client à tout moment. Considérez ce scénario, dans lequel Cu se trouve dans CUIC autonome 11.6 ES 21 (ou avant ) et nécessite les corrections de défauts CUIC de ES22, dans ce cas ils doivent encore installer ES23 (puisque ES sont cumulatifs et que seule la dernière version de ES est disponible pour le client). De plus, ce défaut log4j est mentionné et listé sous LD défectuect dans le fichier ES Readme. Au cours de l'installation ES, les correctifs de défauts sont installés en fonction du déploiement, selon le cas (c'est-à-dire que le déploiement est vérifié si - CUIC autonome /co-res CUIC/LD avant l'installation ES et les correctifs de défauts sont appliqués en conséquence) 

Q.6 Quelles mesures dois-je prendre si mon analyseur de sécurité d'entreprise (exemple : Qualys) récupère CVE-2021-45105 après avoir corrigé mon produit UCCE ?

Réponse : Aucune action n'est nécessaire car Cisco a examiné CVE-2021-45105 et a déterminé qu'aucun produit ou offre cloud Cisco n'est affecté par cette vulnérabilité. Cette information a également été mise en évidence dans l'avis. Pour que Log4j version 2.16.0 soit vulnérable à DDoS, une configuration autre que par défaut est requise pour l'exploitabilité. Cela signifie que l'attaquant doit modifier manuellement le fichier de configuration log4j, ce qui n'est pas possible dans les produits UCCE. Par conséquent, CVE-2021-45105 n'est pas applicable.

Q7. Que dois-je faire lorsque je vois des fichiers Log4j « .jar » plus anciens sur mon système, tels que des fichiers 1.2x ?

Réponse : Il est recommandé de conserver les anciens fichiers afin que le processus de restauration ne soit pas interrompu. Une version inactive de ces fichiers sur le système ne rend pas le composant vulnérable.

Cependant, si l'entreprise a besoin de supprimer les fichiers, elle est fortement encouragée à tester le processus souhaité en laboratoire avant de mettre en oeuvre les étapes de production afin de minimiser l'impact. Il est également recommandé de disposer d'un plan de sauvegarde et de restauration pratique pour récupérer le système en cas de problème avec l'activité.