Inzicht in de impact van de Apache Log4j-kwetsbaarheid op de Cisco Contact Center-oplossing

Inleiding

In dit document wordt de impact van de Apache Log4j-kwetsbaarheid op de UCCE-productlijn (Cisco Contact Center) beschreven.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Unified Contact Center, productversie 11.6 en hoger.

Achtergrondinformatie

Apache heeft onlangs aangegeven een kwetsbaarheid in het Log4j-onderdeel te hebben ontdekt. Dit onderdeel wordt veel gebruikt in Cisco Contact Center-oplossingen en Cisco is actief bezig met de evaluatie van de productlijn om te verifiëren wat wel en niet veilig is.

Opmerking:   Meer informatie vindt u hier: Cisco Security Advisory - cisco-sa-apache-log4j

In dit document wordt meer informatie verstrekt zodra deze beschikbaar is.

Toepassing	Defect-ID	11.6(2)	12.0(1)	12.5(1)	12.6(1)
UCCE/ICM	CSCwa47273	Patch - 11.6(2)_ES84 Leesmij	Patch - 12.0(1)_ES91 Leesmij	Patch - 12.5(1)_ES101 Leesmij Opmerking 1: ES_55-patch vereist, raadpleeg het document over migratie naar OpenJDK Opmerking 2: Controle van Tomcat-versie, zie de sectie Controle van Tomcat-versie op ICM-servers hieronder	Patch - 12.6(1)_ES17 Leesmij
PCCE	CSCwa47274	Patch - 11.6(2)_ES84 Leesmij	Patch - 12.0(1)_ES91 Leesmij	Patch - 12.5(1)_ES101 Leesmij Opmerking 1: ES_55-patch vereist, raadpleeg het document over migratie naar OpenJDK Opmerking 2: Controle van Tomcat-versie, zie de sectie Controle van Tomcat-versie op ICM-servers hieronder	Patch - 12.6(1)_ES17 Leesmij
CTIOS		Niet getroffen	Niet getroffen	Niet getroffen	Niet getroffen
Toepassing	Defect-ID	11.6(1)	12.0(1)	12.5(1)	12.6(1)
CVP	CSCwa47275	Patch - 11.6(1) ES16 Leesmij	Patch - 12.0(1)_ES10 Leesmij	Patch - 12.5(1)_ES25 Leesmij	Patch - 12.6(1)_ES9 Leesmij
VVB	CSCwa47397	Niet getroffen	Niet getroffen	Patch - 12.5(1)_ES12 Leesmij	Patch - 12.6(1)_ES03 Leesmij * gebruik de patch die is gepubliceerd op 29 dec. 2021
Call Studio	CSCwa54008	Callstudio_11.6_Log4j_fix Leesmij	Callstudio_12.0(1)_Log4j_fix Leesmij	Callstudio_12.5(1)_Log4j_fix Leesmij	Callstudio_12.6(1)_Log4j_fix Leesmij
Finesse	CSCwa46459	Niet getroffen	Niet getroffen	Niet getroffen	Patch - 12.6(1)_ES3 Leesmij
CUIC	CSCwa46525	Niet getroffen	Niet getroffen	Niet getroffen	Patch - 12.6(1)_ES03 Leesmij
Live Data (LD)	CSCwa46810	Patch - 11.6.1_COP23 Leesmij	Patch - 12.0(1)_ES18 Leesmij	Patch - 12.5(1)_ES13 Leesmij	Patch - 12.6(1)_ES03 Leesmij
IDS		Niet getroffen	Niet getroffen	Niet getroffen	Niet getroffen
CUIC Co-res (CUIC-LD-IDS)	CSCwa46810	Patch - 11.6.1_COP23 Leesmij	Patch - 12.0(1)_ES18 Leesmij	Patch - 12.5(1)_ES13 Leesmij	Patch - 12.6(1)_ES03 Leesmij
CloudConnect	CSCwa51545			Niet getroffen	Patch - 12.6(1)_CC_COP
ECE	CSCwa47392	Niet getroffen	Patch - 12.0(1)_ES6_ET2 Leesmij	Patch - 12.5(1)_ES3_ET2 Leesmij	Patch - 12.6(1)_ET2 Leesmij
CCMP	CSCwa47383	Niet getroffen	Niet getroffen	Patch - 12.5(1)_ES6 Leesmij	Patch-12.6(1)_ES3 Leesmij
CCDM	CSCwa47383	Niet getroffen	Niet getroffen	Patch - 12.5(1)_ES6 Leesmij	Patch - 12.6(1)_ES3 Leesmij
Google CCAI	Google heeft bevestigd dat de CCAI-functieset niet is getroffen
Webex Experience Management (WxM)	WxM maakt geen gebruik van log4j, dus de oplossing is niet getroffen
Customer Collaboration Platform (CCP)	CSCwa47384	Niet getroffen	Niet getroffen	Niet getroffen	Niet getroffen

* Releasedatums zijn onder voorbehoud en kunnen worden bijgewerkt tot de patch wordt uitgebracht  

Controle van Tomcat-versie op ICM-servers

1. Controleer op de ICM-servers (Router, Logger, PG en AW) de geïnstalleerde Tomcat-versie door het bestand ‘<ICM HOME>\tomcat\bin\version.bat’ uit te voeren.
2. Voor Tomcat-versie 9.0.37 of hoger voert u de volgende stappen uit om het defect ‘CSCvv73307’ op te lossen.
3. Installeer patch ES_81 op de server. Als zich een ES met een hogere waarde dan 81 op de ICM-server bevindt, moet u deze eerst verwijderen.

      - Patch 12.5(1)_ES81 - https://software.cisco.com/download/specialrelease/0aab225ecde522734cc6c6491ad1eb42

      - Leesmij 12.5(1)_ES81 - https://www.cisco.com/web/software/280840583/158250/Release_Document_1.html

4. Als ES_81 is verwijderd, controleert u de Tomcat-versie opnieuw door het BAT-bestand ‘<ICM HOME>\tomcat\bin\version.bat’ uit te voeren.
5. De Tomcat-versie moet overeenkomen met die in stap 1. Als dit zo is, kunt u doorgaan met het ordelijk opnieuw installeren van alle gewenste ES’s tot en met log4j-patch ES_101.

Veelgestelde vragen

V.1 Hoe vaak wordt het document herzien met de meest recente informatie?  

Antwoord:  Het document wordt dagelijks herzien en ’s ochtends bijgewerkt (Amerikaanse tijd)

V.2 Zijn de ICM-versies, d.w.z. (Router, Logger, AW, PG) 10.x, 11.0(x), 11.5(x) en 11.6(1) getroffen?  

Antwoord: Deze versies zijn niet getroffen omdat deze versie 1.X van log4j gebruiken.

Opmerking: In de adviestabel zijn specifieke bugs opgenomen voor de versies die in onderhoud zijn. Versies die niet zijn gemarkeerd, worden niet meer onderhouden en komen niet in aanmerking voor herziening.     

V.3 Wanneer worden patches uitgebracht?

Antwoord: In de adviestabel vindt u voorlopige datums voor het uitbrengen van de patches. De tabel wordt met de bijbehorende links bijgewerkt zodra deze beschikbaar zijn.  

V.4 Is er een tijdelijke oplossing die kan worden geïmplementeerd tot de bugfix beschikbaar is?

Antwoord: U wordt aangeraden het PSIRT-advies op te volgen en ervoor te zorgen dat patches zo snel mogelijk worden toegepast zodra deze voor de getroffen versies worden uitgebracht.  

V.5 CUIC Standalone 11.6(1) is niet getroffen door log4j, maar in de leesmij van ES wordt aangegeven dat dit een vereiste patch op de server is. Waarom?  

Antwoord: Deze ES23 is geen standalone ES met alleen de fix voor log4j, maar een cumulatieve ES, zoals we die voor elk VOS-product hebben. Er is altijd slechts één meest recente en cumulatieve ES beschikbaar voor de klant. Wanneer een klant Standalone CUIC 11.6 ES 21 (of eerder) gebruikt en de CUIC-defectoplossingen van ES22 nodig heeft, moet nog steeds ES23 worden geïnstalleerd (aanzien ES-versies cumulatief zijn en alleen de nieuwste versie beschikbaar is voor de klant). Dit log4j-defect wordt vermeld onder LD-defecten in de ES-leesmij. Tijdens ES-installatie worden defecte oplossingen geïnstalleerd op basis van de implementatie zoals van toepassing (d.w.z. er wordt een implementatiecontrole uitgevoerd of - Standalone CUIC/co-res CUIC/LD voorafgaand aan ES-installatie en defecte oplossingen worden dienovereenkomstig toegepast) 

V.6 Wat moet ik doen als de security scanner (bijvoorbeeld Qualys) CVE-2021-45105 detecteert als ik mijn UCCE-product heb gepatcht?

Antwoord: U hoeft niets te doen. Cisco heeft CVE-2021-45105 onderzocht en vastgesteld dat deze kwetsbaarheid geen gevolgen heeft voor Cisco-producten of -cloudaanbiedingen. Deze informatie is ook in het advies onder de aandacht gebracht. Log4j-versie 2.16.0 is pas kwetsbaar voor DDoS-aanvallen als een niet-standaardconfiguratie is ingesteld. Dit betekent dat de aanvaller het log4j-configuratiebestand handmatig moet wijzigen en dit is niet mogelijk in UCCE-producten. CVE-2021-45105 is dus niet van toepassing.

V.7 Wat doe ik als ik oudere JAR-bestanden van Log4j, bijvoorbeeld 1.2x-bestanden, op mijn systeem tegenkom?

Antwoord: U wordt aangeraden de oude bestanden te laten staan, zodat het terugdraaiproces niet wordt onderbroken. Een onderdeel wordt niet kwetsbaar als er een inactieve versie van deze bestanden op het systeem aanwezig is.

Als het bedrijf echter stelt dat de bestanden moeten worden verwijderd, wordt u sterk aangeraden het gewenste proces in het lab te testen voordat u de stappen in productie implementeert om de impact te minimaliseren. U wordt tevens aangeraden een back-up- en terugdraaiplan op te stellen om het systeem te kunnen herstellen als er problemen zijn met de activiteit.