Troisième mise à jour : 28/05/2016 4:30 PM PDT
Deuxième mise à jour :07/05/2016 2:30 PM PDT
Première mise à jour : 03/05/2016 11:00 AM PDT
Bulletin d'origine : 03/05/2016 7:30 AM PDT
Nous connaissons l'avis d'OpenSSL publié sur https://www.openssl.org/news/secadv/20160503.txt. L'équipe du projet OpenSSL a publié les versions OpenSSL 1.0.2h et 1.0.1t.
L'infrastructure AWS généralement accessible par les navigateurs Web, par exemple, AWS Management Console, S3, CloudFront et ELB, préfère et recommande les suites de chiffrement AES-GCM TLS/SSL. Par conséquent, les interactions des clients avec AWS via des navigateurs Web modernes ou des applications clientes qui négocient correctement AES-GCM pour TLS/SSL ne sont pas affectées par ce problème.
Conformément aux meilleures pratiques de sécurité recommandées par AWS, AWS encourage fortement les clients à effectuer la mise à niveau vers la dernière version d'OpenSSL pour renforcer la sécurité et améliorer la stabilité dans leurs propres environnements déployés AWS et applications clientes.
Un package OpenSSL mis à jour est disponible dans les référentiels Amazon Linux. Les instances démarrées avec la configuration Amazon Linux par défaut à compter du 03/05/2016 incluent automatiquement le package mis à jour. Les clients disposant d’instances AMI Amazon Linux existantes doivent exécuter la commande suivante pour recevoir le package mis à jour :
yum update openssl
Plus d'informations sur le package Amazon Linux mis à jour sont disponibles sur le site du Centre de sécurité Amazon Linux AMI.
AWS mettra à jour OpenSSL de manière appropriée pour améliorer la sécurité des clients AWS qui utilisent des navigateurs Web obsolètes qui ne peuvent pas négocier les suites de chiffrement AES-GCM TLS/SSL préférées et recommandées lors de l'interaction avec AWS Management Console.
AWS a mis à jour OpenSSL pour S3, ELB et CloudFront pour aider les clients AWS qui vendent du contenu protégé TLS.SSL accessible par des navigateurs Web obsolètes qui ne peuvent pas négocier les suites de chiffrement AES-GCM TLS/SSL AES-GCM préférées et recommandées.
Aucune autre action client en dehors de la mise à jour des instances Amazon Linux n'est requise.