ID du bulletin : 2026-150-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 24/10/2026 à 20 h PDT (heure du Pacifique)

Résumé :

Les bundles de certificats de confiance TLS appartenant à AWS sont des magasins de certificats utilisés par les services AWS pour valider les connexions TLS sortantes vers les points de terminaison configurés par les clients, notamment ceux des fournisseurs d’identité, les serveurs d’origine et les destinations des webhooks. Nous avons identifié CVE-2026-111943, un problème de génération de clés cryptographiques touchant une autorité de certification externe (eMudhra/emSign), dont les clés privées des CA intermédiaires pouvaient être retrouvées très facilement en raison de défaillances catastrophiques de l’entropie lors de la génération des clés P-384. Huit clés privées de CA intermédiaires (six pour TLS et deux pour la signature de code) ont été générées avec des valeurs scalaires correspondant à de petits entiers, ce qui permettait de les retrouver mathématiquement sans outils spécialisés. Veuillez noter que les clients dont les applications TLS imposent la vérification de révocation des certificats (OCSP ou CRL, avec refus en cas d’échec) ne sont pas concernés, car la CA émettrice a révoqué les certificats intermédiaires concernés le 18/10/2026 et la CA ayant effectué la signature croisée a révoqué ses copies le 19/10/2026.

Certificats racines concernés :

• AAA Certificate Services (SPKI SHA-256 : bd153ed7b0434f6886b17bce8bbe84ed340c7132d702a8f4fa318f756ecbd6f3)
• emSign Root TLS CA – G3 (SPKI SHA-256 : c619e4780ed8e0abeda24ad732567de4383a7ea941338f6d1a7d1b49ac792fe9)
• emSign ECC Root CA – G3 (SPKI SHA-256 : 8d417db2dd8bf5e3084d1e3f196d583849d81bdd4c00c70b9d39369e96b8c782)

Statut actuel des mesures d’atténuation :

• Les modifications visant à retirer les certificats racines du magasin de confiance partagé d’AWS ont été fusionnées et déployées dans le jeu de versions en production le 21/10/2026.
• AWS SDK pour Python (boto3/botocore) a été mis à jour et publié sur PyPI sous la version 1.43.117.
• Amazon CloudFront déploie le retrait des certificats racines du bundle de CA en périphérie, avec pour date cible le 28/10/2026.
• Les mises à jour d’Amazon Linux 2 et d’Amazon Linux 2023 sont désormais disponibles. Il est recommandé aux clients de mettre à jour le paquet ca-certificates à l’aide de la commande suivante : sudo yum update ca-certificates. Pour plus de détails, suivez les avis ALAS CVE-2026-113470 et CVE-2026-111943.
• Amazon Corretto a publié, pour toutes les branches prises en charge, des versions mises à jour du JDK dont les certificats racines concernés ont été retirés.
• La publication d’AMI mises à jour par Bottlerocket vise la date du 26/10/2026, tandis que la mise à jour des paramètres des dernières AMI dans les régions commerciales est prévue d’ici le 28/10/2026.
• Application Load Balancer procède au retrait des certificats racines concernés du magasin de confiance utilisé pour valider les points de terminaison des fournisseurs d’identité lors de l’authentification OIDC et JWT. Les équilibreurs de charge Application Load Balancer pour lesquels l’authentification OIDC ou JWT est activée sont mis à jour entre le 29/10/2026 et le 31/10/2026, et les nouveaux équilibreurs de charge Application Load Balancer seront protégés au plus tard le 02/11/2026. Les clients qui utilisent l’authentification OIDC ou JWT sur des équilibreurs de charge Application Load Balancer sont informés par AWS Health. Si la chaîne de certification du certificat d’un fournisseur d’identité remonte à l’un des certificats racines concernés, remplacez ce certificat par un certificat émis par une autorité de certification approuvée par AWS au plus tard le 28/10/2026.
• Le Service de jetons de sécurité AWS (STS) et Amazon Cognito ont achevé le déploiement des mises à jour de leurs magasins de confiance et en ont retiré les certificats racines concernés qui servaient à valider les connexions TLS sortantes vers les points de terminaison des fournisseurs d’identité.
• RDS pour SQL Server met à jour ses hôtes gérés afin d’en retirer les certificats racines concernés, avec pour date cible le 30/10/2026. Aucune action n’est requise de la part des clients.
• EMR publie des versions mises à jour, avec pour date cible le 31/10/2026. Il est recommandé aux clients de procéder aux mises à jour lorsqu’elles seront disponibles.

Consignes d’atténuation :

• Amazon CloudFront : Les clients dont les certificats des serveurs d’origine ont une chaîne de certification remontant à l’un des trois certificats racines concernés peuvent rencontrer des échecs de validation TLS lorsqu’AWS retire ces racines du bundle de CA en périphérie de CloudFront. Les clients concernés ont reçu une notification via leur tableau de bord Personal Health Dashboard.
  
  
• Elastic Load Balancing (Application Load Balancer) : AWS informe actuellement, via AWS Health, les clients dont les équilibreurs de charge Application Load Balancer utilisent l’authentification OIDC ou JWT. Si le point de terminaison de votre fournisseur d’identité présente un certificat dont la chaîne de certification remonte à l’un des certificats racines concernés, remplacez ce certificat par un certificat émis par une autorité de certification approuvée par AWS au plus tard le 28/10/2026.
  
  
• Amazon Corretto : les clients doivent passer aux dernières versions, désormais disponibles au téléchargement.
  
  
• Amazon Linux 2 et Amazon Linux 2023 : une mise à jour du paquet ca-certificates est désormais disponible :
       sudo yum update ca-certificates
  
  
• AWS SDK pour Python (boto3/botocore) : AWS SDK pour Python (boto3/botocore) : Mettez botocore à jour vers la version 1.43.117 ou une version ultérieure.
  
  
• Bottlerocket : les clients qui exécutent des charges de travail basées sur Bottlerocket sur Amazon Elastic Kubernetes Service (EKS) ou Amazon Elastic Container Service (ECS) avec des versions d’AMI inférieures ou égales à la v1.67.0 sont concernés tant que les AMI mises à jour ne sont pas disponibles. Il est recommandé aux clients d’appliquer le remplacement temporaire des paramètres de confiance par nœud à l’aide de l’API Bottlerocket :

Références :

• CVE-2026-111943

Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.