Bulletin-ID: 2026-150-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 24.10.2026, 20:00 Uhr PDT

Zusammenfassung:

AWS-eigene TLS-Vertrauenspakete sind Zertifikatsspeicher, die von AWS-Services verwendet werden, um ausgehende TLS-Verbindungen zu vom Kunden konfigurierten Endpunkten, einschließlich Identitätsanbieter-Endpunkten, Ursprungsservern und Webhook-Zielen, zu validieren. Wir haben CVE-2026-111943 identifiziert, ein Problem mit der kryptografischen Schlüsselgenerierung, das eine externe Zertifizierungsstelle betrifft (eMudhra/emSign), deren private CA-Zwischenschlüssel aufgrund katastrophaler Entropiefehler bei der P-384-Schlüsselgenerierung auf triviale Weise wiederherstellbar waren. Acht private CA-Zwischenschlüssel (sechs TLS, zwei Codesignaturen) wurden mit Skalarwerten kleiner Ganzzahlen generiert, sodass sie mathematisch ohne spezielle Tools wiederherstellbar sind. Bitte beachten Sie, dass Kunden, deren TLS-Clients eine Zertifikatssperrprüfung (OCSP oder CRL fail-closed) erzwingen, nicht betroffen sind, da die ausstellende CA die betroffenen Zwischenzertifikate am 18.10.2026 gesperrt hat und die Cross-Signing-CA ihre Kopien am 19.10.2026 gesperrt hat.

Betroffene Wurzeln:

• AAA-Zertifikatsdienste (SPKI SHA-256: bd153ed7b0434f6886b17bce8bbe84ed340c7132d702a8f4fa318f756ecbd6f3)
• emSign Root TLS CA – G3 (SPKI SHA-256: c619e4780ed8e0abeda24ad732567de4383a7ea941338f6d1a7d1b49ac792fe9)
• emSign ECC Root CA – G3 (SPKI SHA-256: 8d417db2dd8bf5e3084d1e3f196d583849d81bdd4c00c70b9d39369e96b8c782)

Aktueller Status der Schadensbegrenzung:

• Die Änderungen an der Root-Entfernung für den gemeinsamen AWS-Trust Store wurden zusammengeführt und in der Live-Version vom 21.10.2026 implementiert.
• Das AWS SDK für Python (boto3/botocore) wurde aktualisiert und als Version 1.43.117 für PyPI veröffentlicht.
• Amazon CloudFront führt die Entfernung des Roots aus dem Edge-CA-Paket bis zum angestrebten Datum, dem 28.10.2026, durch.
• Updates für Amazon Linux 2 und Amazon Linux 2023 sind jetzt verfügbar. Kunden sollten das ca-certificates-Paket aktualisieren: sudo yum update ca-certificates. Bitte folgen Sie ALAS CVE-2026-113470 und CVE-2026-111943 für weitere Informationen.
• Amazon Corretto hat aktualisierte JDK-Versionen für alle unterstützten Linien veröffentlicht, wobei die betroffenen Roots entfernt wurden.
• Bottlerocket veröffentlicht aktualisierte AMIs, die für den 26.10.2026 geplant sind. Die neuesten AMI-Parameter werden in kommerziellen Regionen bis zum 28.10.2026 aktualisiert.
• Application Load Balancer entfernt die betroffenen Roots aus dem Trust Store, der zur Validierung von Identity-Provider-Endpunkten für die OIDC- und JWT-Authentifizierung verwendet wird. Application Load Balancer mit aktivierter OIDC- oder JWT-Authentifizierung werden zwischen dem 29.10.2026 und dem 31.10.2026 aktualisiert, und neu erstellte Application Load Balancer sind bis 02.11.2026 geschützt. Kunden, die die OIDC- oder JWT-Authentifizierung auf Application Load Balancers verwenden, werden über AWS Health benachrichtigt. Wenn ein Identitätsanbieter-Zertifikat mit einem der betroffenen Roots verknüpft ist, ersetzen Sie es bis zum 28.10.2026 durch ein Zertifikat einer von AWS vertrauenswürdigen Zertifizierungsstelle.
• AWS Security Token Service (STS) und Amazon Cognito haben die Bereitstellung von Trust Store-Updates abgeschlossen und die betroffenen Roots entfernt, die zur Validierung ausgehender TLS-Verbindungen zu den Endpunkten von Identitätsanbietern verwendet wurden.
• RDS for SQL Server aktualisiert die verwalteten Hosts, um die betroffenen Roots zu entfernen. Dies ist für den 30.10.2026 geplant. Vonseiten des Kunden besteht kein Handlungsbedarf.
• EMR veröffentlicht aktualisierte Versionen, die für den 31.10.2026 geplant sind. Kunden sollten ein Update durchführen, sobald es verfügbar ist.

Leitlinien zur Schadensbegrenzung:

• Amazon CloudFront: Bei Kunden, deren Ursprungsserverzertifikate mit einem der drei betroffenen Roots verknüpft sind, kann es zu TLS-Validierungsfehlern kommen, da AWS die Roots aus dem CloudFront Edge-CA-Paket entfernt. Betroffene Kunden wurden über ihr Personal Health Dashboard informiert.
  
  
• Elastic Load Balancing (Application Load Balancer): AWS benachrichtigt Kunden, deren Application Load Balancer die OIDC- oder JWT-Authentifizierung über AWS-Servicestatus verwenden. Wenn Ihr Identitätsanbieter-Endpunkt ein Zertifikat vorlegt, das mit einem der betroffenen Roots verknüpft ist, ersetzen Sie es bis zum 28.10.2026 durch ein Zertifikat einer von AWS als vertrauenswürdig eingestuften Zertifizierungsstelle.
  
  
• Amazon Corretto: Kunden sollten auf die neuesten Versionen aktualisieren, die jetzt zum Herunterladen verfügbar sind.
  
  
• Amazon Linux 2 und Amazon Linux 2023: Das Update für das ca-certificates-Paket ist jetzt verfügbar:
       sudo yum update ca-certificates
  
  
• AWS SDK für Python (boto3 / botocore): AWS SDK für Python (boto3 / botocore): Aktualisieren Sie auf die botocore-Version 1.43.117 oder höher.
  
  
• Bottlerocket: Kunden, die Bottlerocket-basierte Workloads auf Amazon Elastic Kubernetes Service (EKS) oder Amazon Elastic Container Service (ECS) auf AMI-Versionen bis einschließlich v1.67.0 ausführen, sind betroffen, bis aktualisierte AMIs verfügbar sind. Kunden sollten die vorläufige Vertrauensüberschreibung pro Knoten mit der Bottlerocket-API anwenden:

Referenzen:

• CVE-2026-111943

Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .