20.11.2014 10:30 Uhr PST-
AWS Elastic Beanstalk
Wir haben an alle Elastic Beanstalk-Windows-Container per Push ein Update übertragen, das eine Fehlerbehebung für MS14-066 enthält, wie beschrieben unter https://technet.microsoft.com/library/security/ms14-066. Kunden mit Einzel-Instance-Umgebungen müssen ein manuelles Update durchführen, um das in MS14-066 beschriebene Problem zu beheben. Auch Kunden mit Multi-Instance-Umgebungen empfehlen wir, ein Update durchzuführen. Die dafür erforderlichen Schritte werden in unseren Diskussionsforen beschrieben: https://forums.aws.amazon.com/ann.jspa?annID=2760.
---------------------------------------------------------------
18.11.2014 10:30 Uhr PST -
Wir haben alle AWS-Services auf mögliche Auswirkungen des Problems überprüft, das im Microsoft-Sicherheitsbulletin MS14-066: Sicherheitsanfälligkeit in SChannel kann Remotecodeausführung ermöglichen (CVE-2014-6321) beschrieben wird. Mit Ausnahme der unten aufgelisteten Services konnten wir entweder feststellen, dass die Services nicht betroffen sind, oder konnten Schutzmaßnahmen treffen, die keiner Handlung vonseiten des Kunden bedürfen.
Amazon EC2:
Kunden mit Amazon EC2-Instances, die über Microsoft Windows AMIs ausgeführt werden, einschließlich AMIs aus dem AWS Marketplace und benutzerdefinierte AMIs, sollten Windows Update ausführen, um ihre Instances zu aktualisieren. Alternativ können die Anweisungen unter https://technet.microsoft.com/library/security/ms14-066 befolgt werden. Kunden, die neue Windows-Instances starten, müssen Windows Update ausführen, um die Sicherheitsaktualisierung zu installieren. Aktualisierte Windows AMIs, die das Update zur Behebung dieses Problems bereits enthalten und daher keine Ausführung von Windows Update erfordern, stehen voraussichtlich ab dem 25.11.2014 zur Verfügung.
AWS Elastic Beanstalk:
Wir konnten bestätigen, dass lediglich Windows-Einzel-Instance-Umgebungen von dem in MS14-066 beschriebenen Problem betroffen sind. Derzeit erstellen wir aktualisierte Lösungs-Stacks, auf die unsere Kunden mit minimaler Ausfallzeit umsteigen können. Diese sind voraussichtlich ab 23:59 Uhr PST am 18.11.2014 verfügbar. Zeitgleich werden wir ausführliche Anweisungen im Elastic Beanstalk-Forum bereitstellen.
---------------------------------------------------------------
14.11.2014 17:30 Uhr PST -
Wir arbeiten weiterhin daran, die gemeldeten Probleme mit dem bereitgestellten Patch für MS14-066 zu untersuchen. Dieser aktualisierte Status gilt für den unten genannten Service. Wir werden dieses Sicherheitsbulletin für die anderen zuvor ermittelten Services aktualisieren, sobald weitere Informationen verfügbar sind.
Amazon Relational Database Service (RDS):
Amazon RDS wird alle erforderlichen Updates für betroffene RDS SQL Server-Instances entwickeln und bereitstellen. Alle nötigen Updates erfordern einen Neustart der RDS-Datenbank-Instance. Kunden werden per E-Mail oder direkt durch AWS Support über den genauen Zeitpunkt der Updates für die einzelnen Instances benachrichtigt, bevor diese neu gestartet werden.
---------------------------------------------------------------
12.11.2014 21:30 Uhr PST-
Wir haben Meldungen erhalten, dass der von Microsoft für MS14-066 bereitgestellte Patch zu Problemen geführt hat. Insbesondere wird die Verbindung von TLS 1.2-Sitzungen beim Schlüsselaustausch unterbrochen.
Während wir das Problem mit dem bereitgestellten Patch untersuchen, empfehlen wir unseren Kunden, ihre Sicherheitsgruppen zu überprüfen und sicherzustellen, dass der externe Zugriff auf Windows-Instances soweit wie möglich eingeschränkt wurde. Beim Überprüfen der Sicherheitsgruppen können sich unsere Kunden an den folgenden Informationen orientieren.
Dokumentation für Sicherheitsgruppen in EC2-Windows-Instances: http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-network-security.html
Dokumentation für Sicherheitsgruppen in AWS Elastic Beanstalk: http://docs.aws.amazon.com/elasticbeanstalk/latest/dg/using-features.managing.ec2.html
Dokumentation für Sicherheitsgruppen in Amazon RDS SQL Server: http://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Overview.RDSSecurityGroups.html
Wir werden dieses Sicherheitsbulletin kontinuierlich aktualisieren.
---------------------------------------------------------------
11.11.2014 21:00 Uhr PST-
Der Sicherheitshinweis MS14-066, für den am 11. November 2014 ein Patch veröffentlicht wurde, ist uns bekannt. Wir überprüfen derzeit AWS-Services und werden demnächst weitere Informationen in diesem Bulletin bereitstellen.