Cisco actualiza las remediaciones para sus productos afectados por eMudhra
La versión 1.3 del advisory de Cisco separa productos impactados, pendientes y corregidos tras el compromiso de ocho CA intermedias eMudhra.
Cisco actualizó el 27 de octubre su advisory sobre las autoridades de certificación (CA) intermedias de eMudhra a la versión 1.3, con una matriz más concreta de productos impactados y medidas de remediación. El cambio no anuncia una nueva intrusión en Cisco: responde al compromiso de ocho certificados intermedios de eMudhra y precisa qué equipos, servicios cloud y versiones de Cisco deben actuar. La fecha de esta revisión es 18:08 GMT, y el aviso sigue marcado como provisional.
El incidente afecta a la infraestructura de clave pública (PKI), que permite a navegadores, sistemas operativos y aplicaciones confiar en certificados emitidos por una cadena de autoridades. Las ocho claves comprometidas corresponden a seis CA intermedias de TLS y dos de firma de código; quien controle una CA intermedia puede emitir certificados que los clientes podrían aceptar como legítimos, sujeto a las restricciones y comprobaciones de cada cadena. Apple indica que eMudhra y Sectigo revocaron los certificados afectados, pero retirar un certificado de un almacén no ocurre a la vez en todos los productos.
-SecureCrew dice: en PKI, “está revocado” describe el certificado en el registro; no garantiza que cada appliance ya haya recibido la noticia.-
La revisión de Cisco separa productos impactados, productos que siguen bajo investigación y servicios donde Cisco ya aplicó una corrección cloud. El advisory afirma que, si un producto no figura en sus listas, la evaluación de Cisco lo considera no afectado; esa conclusión debe leerse contra la versión más reciente del documento, porque la propia empresa avisa que actualizará la matriz conforme avance su revisión. No conviene convertir una entrada “under investigation” en “afectado confirmado” ni en “ya corregido”.
Entre los equipos impactados, Secure Email and Web Manager y Secure Email Gateway reciben Trusted Root 2.8 automáticamente si el actualizador está configurado así. Las instalaciones con actualización manual deben obtener la versión por el mecanismo de consola que describe Cisco. Para Secure Firewall Threat Defense, el aviso apunta a configurar en FMC una política TLS que bloquee los emisores eMudhra conocidos; no es la misma remediación que actualizar un trust store. Unified Customer Voice Portal, por su parte, actualiza su lista de certificados no confiables mediante el mecanismo estándar de certificados raíz.
Otros servicios cloud aparecen como remediados sin acción del cliente, mientras que algunos productos todavía tienen fechas objetivo de software posteriores al 27 de octubre. Una fecha objetivo no es una versión ya disponible: el propio advisory las presenta como estimaciones sujetas a pruebas y cambios. Los administradores deben abrir la tabla de su producto y el bug asociado antes de planificar un despliegue, especialmente si la corrección requiere software nuevo o una política de inspección distinta.
Por qué no basta con actualizar el navegador
La documentación de Apple sirve para ver el problema de cobertura: sus dispositivos bloquean automáticamente los certificados comprometidos en Safari, Mail y aplicaciones que usan sus frameworks, pero ciertas herramientas de línea de comandos en macOS consultan un archivo de confianza distinto y pueden seguir aceptándolos hasta una actualización del sistema. El almacén que importa es el que usa cada cliente TLS; un navegador actualizado no prueba que el agente de backup, una VPN o un appliance haya recibido la misma lista de bloqueo.
-SecureCrew dice: “lo bloquea el navegador” no es una estrategia de inventario para todo lo que habla TLS desde el mismo equipo.-
Comprueba en la tabla de Cisco PSIRT el inventario, el modelo de despliegue y la versión: actualización automática, intervención manual, política TLS o release pendiente son estados diferentes. Comprueba también qué dispositivos usan almacenes propios y qué tareas dependen de ellos, sin retirar raíces de confianza de forma global por intuición; una limpieza indiscriminada puede romper cadenas legítimas y no sustituye la remediación del fabricante. La actualización 1.3 reduce la incertidumbre sobre Cisco, pero no convierte todos los productos en un único paquete de parche.
-SecureCrew dice: un trust store sin dueño suele ser una lista que todo el mundo hereda y nadie se atreve a tocar.-
La evidencia publicada permite decir que varias CA intermedias de eMudhra quedaron comprometidas, que sus certificados se revocaron y que Cisco ha identificado productos afectados con acciones distintas. No permite atribuir a Cisco una explotación en sus clientes ni afirmar que todos sus servicios requieran una acción manual. En este incidente, la tarea útil es localizar el trust store concreto de cada componente y seguir la instrucción que corresponde a su estado en el advisory.
Diccionario de la Crew
CA — Autoridad que emite o firma certificados digitales dentro de una cadena de confianza.
PKI — Infraestructura de clave pública: autoridades, certificados y reglas que permiten verificar identidades criptográficas.
TLS — Protocolo que protege comunicaciones mediante cifrado y certificados.
