08 de abril de 2014
Hemos revisado todos los servicios de AWS a fin de determinar el impacto del problema descrito en CVE-2014-0160 (también conocido como bug Heartbleed). Con la excepción de los servicios que se enumeran a continuación, hemos determinado que los servicios no se vieron afectados o hemos podido aplicar mitigaciones que no requieren la acción del cliente.
Elastic Load Balancing: podemos confirmar que todos los balanceadores de carga afectados por el problema descrito en CVE-2014-0160 han sido actualizados en todas las regiones. Si está terminando las conexiones SSL en el balanceador de carga elástico, usted ya no es vulnerable al bug Heartbleed. Como precaución adicional, recomendamos que rote los certificados SSL utilizando la información provista en la documentación de Elastic Load Balancing: http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/US_UpdatingLoadBalancerSSL.html
Amazon EC2: los clientes que usan OpenSSL en sus propias imágenes de Linux deben actualizar sus imágenes para protegerse del bug Heartbleed descrito en CVE-2014-0160. A continuación se encuentran los enlaces para las instrucciones sobre cómo actualizar varias de las soluciones populares de Linux. Como precaución adicional, recomendamos la rotación de cualquier secreto o clave, como los certificados SSL, que haya sido utilizado por el proceso OpenSSL afectado.
AMI de Amazon Linux: https://aws.amazon.com/amazon-linux-ami/security-bulletins/ALAS-2014-320/
Red Hat Enterprise Linux: https://rhn.redhat.com/errata/RHSA-2014-0376.html
Ubuntu: http://www.ubuntu.com/usn/usn-2165-1/
AWS OpsWorks: para actualizar las instancias administradas por OpsWorks, ejecute el comando update_dependencies para cada una de las pilas a fin de obtener los últimos paquetes de OpenSSL para Ubuntu y Amazon Linux. Las instancias de OpsWorks recién creadas instalarán todas las actualizaciones de seguridad en el arranque de forma predeterminada. Para obtener más información consulte: https://forums.aws.amazon.com/ann.jspa?annID=2429
AWS Elastic Beanstalk: estamos trabajando con algunos clientes para ayudarlos a actualizar sus entornos de una sola instancia habilitados por SSL que se ven afectados por este bug.
Amazon CloudFront: hemos mitigado este problema. Como precaución adicional, recomendamos la rotación de los certificados SSL utilizando la información provista en la documentación de CloudFront: http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/SecureConnections.html