2014 年 4 月 8 日
CVE-2014-0160 で説明されている問題 (Heartbleed バグとも呼ばれます) の影響について、すべての AWS サービスを確認しました。以下にリストされているサービスを除き、サービスが影響を受けていないと判断したか、顧客のアクションを必要としない緩和策を適用できました。
Elastic Load Balancing: CVE-2014-0160 で説明されている問題の影響を受けるすべてのロードバランサーが、すべてのリージョンで更新されたことを確認できます。Elastic Load Balancing で SSL 接続を終了する場合、Heartbleed バグの影響を受けなくなります。追加の予防策として、Elastic Load Balancing ドキュメント (http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/US_UpdatingLoadBalancerSSL.html) に記載されている情報を使用して SSL 証明書をローテーションすることをお勧めします。
Amazon EC2: 独自の Linux イメージで OpenSSL を使用しているお客様は、CVE-2014-0160 で説明されている Heartbleed バグから守るために、イメージを更新する必要があります。人気のある Linux 製品のいくつかを更新する方法についてのリンクは、以下にあります。追加の予防策として、影響を受ける OpenSSL プロセスで使用された秘密またはキー (SSL 証明書など) をローテーションすることをお勧めします。
Amazon Linux AMI: https://aws.amazon.com/amazon-linux-ami/security-bulletins/ALAS-2014-320/
Red Hat Enterprise Linux: https://rhn.redhat.com/errata/RHSA-2014-0376.html
Ubuntu: http://www.ubuntu.com/usn/usn-2165-1/
AWS OpsWorks: OpsWorks マネージドインスタンスを更新するには、各スタックに対して update_dependencies コマンドを実行して、Ubuntu および Amazon Linux の最新の OpenSSL パッケージを取得します。新しく作成された OpsWorks インスタンスは、デフォルトで起動時にすべてのセキュリティ更新プログラムをインストールします。詳細については、https://forums.aws.amazon.com/ann.jspa?annID=2429 をご覧ください。
AWS Elastic Beanstalk: 少数のお客様と協力して、このバグの影響を受ける SSL 対応のシングルインスタンス環境の更新を支援しています。
Amazon CloudFront: この問題は緩和されました。追加の予防策として、CloudFront ドキュメント (http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/SecureConnections.html) に記載されている情報を使用して SSL 証明書をローテーションすることをお勧めします。