08. April 2014
Wir haben alle AWS-Services auf die Auswirkungen des Problems geprüft, das in CVE-2014-0160 beschrieben wurde (auch als Heartbleed-Fehler bekannt). Mit Ausnahme der unten aufgelisteten Services haben wir entweder bestimmt, dass die Services nicht betroffen sind, oder konnten Schutzmaßnahmen treffen, die keiner Handlung vonseiten des Kunden bedürfen.
Elastic Load Balancing: Wir können bestätigen, dass alle Load Balancer, die von dem in CVE-2014-0160 beschriebenen Problem betroffen sind, jetzt in allen Regionen aktualisiert wurden. Wenn Sie Ihre SSL-Verbindungen auf Ihrem Elastic Load Balancer beenden, sind Sie nicht mehr für den Heartbleed-Fehler anfällig. Als zusätzliche Vorsichtsmaßnahme empfehlen wir, dass Sie Ihre SSL-Zertifikate gemäß den Informationen in der Dokumentation für Elastic Load Balancing rotieren: http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/US_UpdatingLoadBalancerSSL.htmll
Amazon EC2: Kunden, die OpenSSL auf ihren eigenen Linux-Images verwenden, sollten diese aktualisieren, um sich selbst vor dem in CVE-2014-0160 beschriebenen Heartbleed-Fehler zu schützen. Links mit Anweisungen zur Aktualisierung verschiedener häufig verwendeter Linux-Angebote sind unten zu finden. Als weitere Schutzmaßnahme empfehlen wir Ihnen, dass Sie alle geheimen Zugriffsschlüssel (z. B. die SSL-Zertifikate) rotieren, die vom betroffenen OpenSSL-Prozess verwendet wurden.
Amazon Linux AMI: https://aws.amazon.com/amazon-linux-ami/security-bulletins/ALAS-2014-320/
Red Hat Enterprise Linux: https://rhn.redhat.com/errata/RHSA-2014-0376.html
Ubuntu: http://www.ubuntu.com/usn/usn-2165-1/
AWS OpsWorks: Zur Aktualisierung Ihrer mit OpsWorks verwalteten Instances führen Sie den Befehl update_dependencies für jeden Ihrer Stacks aus, um die neuesten OpenSSL-Pakete für Ubuntu und Amazon Linux abzurufen. Neu erstellte OpsWorks Instances installieren standardmäßig alle Sicherheits-Updates beim Booten. Weitere Informationen finden Sie unter: https://forums.aws.amazon.com/ann.jspa?annID=2429
AWS Elastic Beanstalk: Wir unterstützen einige wenige Kunden dabei, ihre SSL-aktivierten Umgebungen mit einzelnen Instances zu aktualisieren, die von diesem Bug betroffen sind.
Amazon CloudFront: Wir haben dieses Problem behoben. Als zusätzliche Vorsichtsmaßnahme empfehlen wir, dass Sie Ihre SSL-Zertifikate gemäß den Informationen in der CloudFront-Dokumentation rotieren: http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/SecureConnections.html