ID del boletín: 2026-150-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 24/10/2026 20:00 h PDT

Resumen:

Los paquetes de confianza TLS propiedad de AWS son almacenes de certificados que los servicios de AWS utilizan para validar las conexiones TLS salientes a puntos de conexión configurados por los clientes, incluidos los puntos de conexión de los proveedores de identidad, los servidores de origen y los destinos de los webhooks. Identificamos CVE-2026-111943, un problema de generación de claves criptográficas que afecta a una autoridad de certificación externa (eMudhra/emSign), cuyas claves privadas de CA intermedias podían recuperarse con facilidad debido a fallos catastróficos de entropía en la generación de claves P-384. Se generaron ocho claves privadas de CA intermedias (seis de TLS y dos de firma de código) cuyos valores escalares eran enteros pequeños, lo que permitía recuperarlas matemáticamente sin herramientas especializadas. Tenga en cuenta que los clientes cuyos clientes TLS exigen la comprobación de la revocación de certificados (mediante OCSP o CRL, con rechazo de la conexión si falla la comprobación) no se ven afectados, ya que la CA emisora revocó los certificados intermedios afectados el 18 de octubre de 2026 y la CA de firma cruzada revocó sus copias el 19 de octubre de 2026.

Certificados raíz afectados:

• AAA Certificate Services (SPKI SHA-256: bd153ed7b0434f6886b17bce8bbe84ed340c7132d702a8f4fa318f756ecbd6f3)
• emSign Root TLS CA – G3 (SPKI SHA-256: c619e4780ed8e0abeda24ad732567de4383a7ea941338f6d1a7d1b49ac792fe9)
• emSign ECC Root CA – G3 (SPKI SHA-256: 8d417db2dd8bf5e3084d1e3f196d583849d81bdd4c00c70b9d39369e96b8c782)

Estado actual de mitigación:

• Los cambios para eliminar los certificados raíz del almacén de confianza compartido de AWS se integraron e implementaron en el conjunto de versiones activo el 21 de octubre de 2026.
• El AWS SDK para Python (boto3/botocore) se actualizó y se publicó en PyPI como la versión 1.43.117.
• Amazon CloudFront lleva a cabo la eliminación de los certificados raíz del paquete de CA periférico, con fecha objetivo del 28 de octubre de 2026.
• Ya están disponibles las actualizaciones de Amazon Linux 2 y Amazon Linux 2023. Los clientes deben actualizar el paquete ca-certificates: sudo yum update ca-certificates. Consulte los avisos ALAS CVE-2026-113470 y CVE-2026-111943 para obtener más información.
• Amazon Corretto ha publicado versiones actualizadas del JDK para todas las líneas compatibles, de las que se eliminaron los certificados raíz afectados.
• Bottlerocket publica AMI actualizadas con fecha objetivo del 26 de octubre de 2026, y los parámetros de AMI más recientes se actualizarán en las regiones comerciales a más tardar el 28 de octubre de 2026.
• El equilibrador de carga de aplicación elimina los certificados raíz afectados del almacén de confianza utilizado para validar los puntos de conexión de los proveedores de identidad en la autenticación OIDC y JWT. Los equilibradores de carga de aplicación con autenticación OIDC o JWT habilitada se actualizan entre el 29 y el 31 de octubre de 2026, y los nuevos equilibradores de carga de aplicación estarán protegidos a más tardar el 2 de noviembre de 2026. Los clientes que utilizan la autenticación OIDC o JWT en equilibradores de carga de aplicación reciben notificaciones a través de AWS Health. Si el certificado de un proveedor de identidad tiene una cadena de certificación que llega a uno de los certificados raíz afectados, sustitúyalo por un certificado de una autoridad de certificación en la que AWS confíe a más tardar el 28 de octubre de 2026.
• AWS Security Token Service (STS) y Amazon Cognito han completado la implementación de las actualizaciones de los almacenes de confianza y han eliminado los certificados raíz afectados que se utilizaban para validar las conexiones TLS salientes a los puntos de conexión de los proveedores de identidad.
• RDS para SQL Server está en proceso de actualizar los hosts administrados para eliminar los certificados raíz afectados, con fecha objetivo del 30 de octubre de 2026. No se requiere ninguna acción por parte del cliente.
• EMR tiene previsto publicar versiones actualizadas para el 31 de octubre de 2026. Los clientes deben aplicar las actualizaciones cuando estén disponibles.

Guía de mitigación:

• Amazon CloudFront: Los clientes cuyos certificados de los servidores de origen estén vinculados mediante una cadena de certificación a uno de los tres certificados raíz afectados pueden experimentar errores de validación TLS a medida que AWS elimina esos certificados raíz del paquete de CA periférico de CloudFront. Los clientes afectados han recibido una notificación a través de su Personal Health Dashboard.
  
  
• Elastic Load Balancing (equilibrador de carga de aplicación): AWS notifica mediante AWS Health a los clientes cuyos equilibradores de carga de aplicación utilizan autenticación OIDC o JWT. Si el certificado de un proveedor de identidad tiene una cadena de certificación que llega a uno de los certificados raíz afectados, sustitúyalo por un certificado de una autoridad de certificación en la que AWS confíe a más tardar el 28 de octubre de 2026.
  
  
• Amazon Corretto: Los clientes deben actualizar a las versiones más recientes, que ya están disponibles para su descarga.
  
  
• Amazon Linux 2 y Amazon Linux 2023: La actualización del paquete ca-certificates ya está disponible:
       sudo yum update ca-certificates
  
  
• AWS SDK para Python (boto3/botocore): AWS SDK para Python (boto3/botocore): Actualice botocore a la versión 1.43.117 o posterior.
  
  
• Bottlerocket: Los clientes que ejecutan cargas de trabajo basadas en Bottlerocket en Amazon Elastic Kubernetes Service (EKS) o Amazon Elastic Container Service (ECS) con versiones de AMI iguales o anteriores a la v1.67.0 se ven afectados hasta que estén disponibles las AMI actualizadas. Los clientes deben aplicar la anulación temporal de confianza por nodo mediante la API de Bottlerocket:

Referencias:

• CVE-2026-111943

Envíe un correo electrónico a aws-security@amazon.com  si tiene alguna pregunta o inquietud sobre seguridad.