CVE-2026-111943：AWS 信任捆绑包中的 eMudhra 中间 CA 密钥恢复
公告 ID： 2026-150-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期： 2026 年 10 月 24 日 20:00 PM（太平洋夏令时）
摘要：
AWS 拥有的 TLS 信任捆绑包是 AWS 服务用来验证与客户配置端点（包括身份提供者端点、原始服务器和 Webhook 目标）的出站 TLS 连接的证书存储。我们发现了 CVE-2026-111943，这是一个影响外部证书颁发机构的加密密钥生成问题（eMudhra/emSign），由于 P-384 密钥生成过程中出现灾难性熵故障，其中间 CA 私有密钥可以轻松恢复。生成了八个中间 CA 私有密钥（六个 TLS，两个代码签名），标量值为小整数，因此无需专门的工具即可通过数学方法恢复。请注意，其 TLS 客户端强制执行证书吊销检查（OCSP 或 CRL 故障关闭）的客户不会受到影响，因为颁发证书的 CA 于 2026 年 10 月 18 日撤销了受影响的中间证书，而交叉签名 CA 于 2026 年 10 月 19 日撤销了其副本。
受影响的根：
- AAA 证书服务（SPKI SHA-256：bd153ed7b0434f6886b17bce8bbe84ed340c7132d702a8f4fa318f756ecbd6f3）
- emSign 根 TLS CA – G3（SPKI SHA-256：c619e4780ed8e0abeda24ad732567de4383a7ea941338f6d1a7d1b49ac792fe9）
- emSign ECC 根 CA – G3（SPKI SHA-256：8d417db2dd8bf5e3084d1e3f196d583849d81bdd4c00c70b9d39369e96b8c782）
当前缓解状态：
- 共享 AWS 信任存储的根移除更改已合并，并于 2026 年 10 月 21 日部署到上线版本集。
- 适用于 Python 的 AWS SDK（boto3/botocore）已更新并发布到 PyPI，版本为 1.43.117。
- Amazon CloudFront 计划在 2026 年 10 月 28 日的目标日期之前从边缘 CA 捆绑包中移除根。
- Amazon Linux 2 和 Amazon Linux 2023 更新现已推出。客户应更新 ca-certificates 软件包：sudo yum update ca-certificates。请关注 ALAS CVE-2026-113470 和 CVE-2026-111943 了解更多详细信息。
- Amazon Corretto 已在所有受支持版本系列中发布了更新的 JDK 版本，并移除了受影响的根。
- Bottlerocket 即将发布更新的 AMI，目标日期为 2026 年 10 月 26 日，商业区域的最新 AMI 参数将在 2026 年 10 月 28 日之前更新。
- 应用程序负载均衡器即将从用于验证 OIDC 和 JWT 身份验证的身份提供者端点的信任存储库中移除受影响的根。启用 OIDC 或 JWT 身份验证的应用程序负载均衡器将在 2026 年 10 月 29 日至 2026 年 10 月 31 日之间进行更新，新创建的应用程序负载均衡器将在 2026 年 11 月 2 日之前受到保护。在应用程序负载均衡器上使用 OIDC 或 JWT 身份验证的客户将通过 AWS Health 收到通知。如果身份提供者证书链至受影响的根之一，请在 2026 年 10 月 28 日之前将其替换为 AWS 可信证书颁发机构颁发的证书。
- AWS Security Token Service（STS）和 Amazon Cognito 已完成信任存储更新的部署，移除了用于验证与身份提供者端点的出站 TLS 连接的受影响根。
- RDS for SQL Server 即将更新托管主机以删除受影响的根，目标日期为 2026 年 10 月 30 日。无需客户操作。
- EMR 即将发布定于 2026 年 10 月 31 日的更新版本。客户应在可用时进行更新。
缓解指南：
- Amazon CloudFront： 当 AWS 从 CloudFront 边缘 CA 捆绑包中移除根时，其原始服务器证书链至三个受影响根之一的客户可能会遇到 TLS 验证失败。已通过其 Personal Health Dashboard 通知受影响的客户。
- 弹性负载均衡（应用程序负载均衡器）： AWS 正在通过 AWS Health 通知其应用程序负载均衡器使用 OIDC 或 JWT 身份验证的客户。如果您的身份提供者端点提供的证书链至受影响的根之一，请在 2026 年 10 月 28 日之前将其替换为 AWS 可信证书颁发机构颁发的证书。
- Amazon Corretto： 客户应升级到最新版本，该版本现已可供下载。
- Amazon Linux 2 和 Amazon Linux 2023： ca-certificates 软件包的更新现已推出：
sudo yum update ca-certificates - 适用于 Python 的 AWS SDK（boto3/botocore）：适用于 Python 的 AWS SDK（boto3/botocore）：更新到 botocore 版本 1.43.117 或更高版本。
- Bottlerocket： 在 AMI 版本为 v1.67.0 或更低版本的 Amazon Elastic Kubernetes Service（EKS）或 Amazon Elastic Container Service（ECS）上运行基于 Bottlerocket 的工作负载的客户将受到影响，直到更新的 AMI 可用为止。客户应使用 Bottlerocket API 应用临时的每节点信任覆盖方案：
临时的每节点信任覆盖
bash
apiclient apply <<'EOF'
# emSign ECC Root CA - C3 (O=eMudhra Inc)
# SHA-256 BC:4D:80:9B:15:18:9D:78:DB:3E:1D:8C:F4:F9:72:6A:79:5D:A1:64:3C:A5:F1:35:8E:1D:DB:0E:DC:0D:7E:B3
[settings.pki.emsign-ecc-c3]
trusted = false
data = "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"
# emSign ECC Root CA - G3 (O=eMudhra Technologies Limited)
# SHA-256 86:A1:EC:BA:08:9C:4A:8D:3B:BE:27:34:C6:12:BA:34:1D:81:3E:04:3C:F9:E8:A8:62:CD:5C:57:A3:6B:BE:6B
[settings.pki.emsign-ecc-g3]
trusted = false
data = "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"
# emSign Root CA - C1 (O=eMudhra Inc)
# SHA-256 12:56:09:AA:30:1D:A0:A2:49:B9:7A:82:39:CB:6A:34:21:6F:44:DC:AC:9F:39:54:B1:42:92:F2:E8:C8:60:8F
[settings.pki.emsign-root-c1]
trusted = false
data = "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"
EOF