CVE-2026-111943: AWS 신뢰 번들의 eMudhra 중간 CA 키 복구
공지 ID: 2026-150-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/24/2026 20:00 PM PDT
요약:
AWS 소유의 TLS 신뢰 번들은 AWS 서비스에서 고객이 구성한 엔드포인트(자격 증명 공급자 엔드포인트, 오리진 서버, 웹훅 대상 포함)로의 아웃바운드 TLS 연결을 검증하는 데 사용하는 인증서 저장소입니다. 당사는 암호화 키 생성 문제인 CVE-2026-111943이 외부 인증 기관(eMudhra/emSign)에 영향을 미치는 것을 확인했습니다. 해당 기관의 중간 CA 개인 키는 P-384 키 생성의 치명적인 엔트로피 오류로 인해 쉽게 복구할 수 있는 상태였습니다. 8개의 중간 CA 개인 키(TLS용 6개, 코드 서명용 2개)가 작은 정수 스칼라 값으로 생성되어, 특수 도구 없이도 수학적으로 복구할 수 있었습니다. 발급 CA가 2026-10-18에 영향을 받는 중간 CA를 해지하였고 교차 서명 CA가 2026-10-19에 해당 사본들을 해지하였으므로, TLS 클라이언트에서 인증서 해지 확인(OCSP 또는 CRL fail-closed)을 시행하는 고객은 영향을 받지 않습니다.
영향을 받은 루트:
- AAA Certificate Services (SPKI SHA-256: bd153ed7b0434f6886b17bce8bbe84ed340c7132d702a8f4fa318f756ecbd6f3)
- emSign Root TLS CA – G3 (SPKI SHA-256: c619e4780ed8e0abeda24ad732567de4383a7ea941338f6d1a7d1b49ac792fe9)
- emSign ECC Root CA – G3 (SPKI SHA-256: 8d417db2dd8bf5e3084d1e3f196d583849d81bdd4c00c70b9d39369e96b8c782)
현재 완화 조치 현황:
- 공유 AWS 신뢰 저장소에 대한 루트 제거 변경 사항은 병합되어 2026-10-21에 라이브 버전 세트에 배포되었습니다.
- AWS SDK for Python(boto3 / botocore)이 업데이트되어 1.43.117 버전으로 PyPI에 출시되었습니다.
- Amazon CloudFront는 2026-10-28을 목표일로 삼아 엣지 CA 번들에서 루트를 제거하는 작업을 배포하고 있습니다.
- Amazon Linux 2 및 Amazon Linux 2023 업데이트를 현재 이용할 수 있습니다. 고객은 ca-certificates 패키지를 업데이트해야 합니다. sudo yum update ca-certificates. 자세한 내용은 ALAS CVE-2026-113470 및 CVE-2026-111943을 참조하세요.
- Amazon Corretto는 영향을 받는 루트가 제거된 업데이트된 JDK 버전을 모든 지원 라인에 걸쳐 출시했습니다.
- Bottlerocket은 2026-10-26을 목표로 업데이트된 AMI를 게시 중이며, 2026-10-28까지 상용 리전의 최신 AMI 파라미터가 업데이트됩니다.
- Application Load Balancer는 OIDC 및 JWT 인증용 자격 증명 공급자 엔드포인트를 검증하는 데 사용되는 신뢰 저장소에서 영향을 받는 루트를 제거하고 있습니다. OIDC 또는 JWT 인증이 활성화된 Application Load Balancer는 2026-10-29부터 2026-10-31 사이에 업데이트가 진행 중이며, 신규 생성되는 Application Load Balancer는 2026-11-02까지 보호 조치가 완료됩니다. Application Load Balancer에서 OIDC 또는 JWT 인증을 사용하는 고객에게는 AWS Health를 통해 안내가 진행되고 있습니다. 자격 증명 공급자 인증서가 영향을 받는 루트 중 하나로 연결되는 경우, 2026-10-28까지 해당 인증서를 AWS가 신뢰하는 인증 기관의 인증서로 교체하세요.
- AWS Security Token Service(STS) 및 Amazon Cognito는 신뢰 저장소 업데이트 배포를 완료하여, 자격 증명 공급자 엔드포인트로 향하는 아웃바운드 TLS 연결 검증에 사용되는 영향받는 루트를 제거했습니다.
- RDS for SQL Server는 영향을 받는 루트를 제거하기 위해 관리형 호스트를 업데이트하고 있으며, 2026-10-30 완료를 목표로 하고 있습니다. 고객이 취해야 할 조치는 없습니다.
- EMR은 2026-10-31을 목표로 업데이트된 버전을 출시하고 있습니다. 고객은 해당 버전이 출시되면 업데이트해야 합니다.
완화 지침:
- Amazon CloudFront: 오리진 서버 인증서가 영향을 받는 3개의 루트 중 하나로 연결되는 고객은, AWS가 CloudFront 엣지 CA 번들에서 해당 루트를 제거함에 따라 TLS 유효성 검사 실패를 겪을 수 있습니다. 영향을 받는 고객에게는 Personal Health Dashboard를 통해 안내되었습니다.
- Elastic Load Balancing(Application Load Balancer): AWS는 Application Load Balancer에서 OIDC 또는 JWT 인증을 사용하는 고객에게 AWS Health를 통해 안내하고 있습니다. 사용 중인 자격 증명 공급자 엔드포인트가 영향을 받는 루트 중 하나로 연결되는 인증서를 제시하는 경우, 2026-10-28까지 AWS가 신뢰하는 인증 기관의 인증서로 교체하세요.
- Amazon Corretto: 고객은 현재 다운로드 가능한 최신 버전으로 업그레이드해야 합니다.
- Amazon Linux 2 및 Amazon Linux 2023: ca-certificates 패키지 업데이트가 현재 제공되고 있습니다.
sudo yum update ca-certificates - AWS SDK for Python(boto3 / botocore): AWS SDK for Python(boto3 / botocore): botocore 버전을 1.43.117 이상으로 업데이트하세요.
- Bottlerocket: Amazon Elastic Kubernetes Service(EKS) 또는 Amazon Elastic Container Service(ECS)에서 v1.67.0 이하의 AMI 버전을 기반으로 Bottlerocket 워크로드를 실행하는 고객은 업데이트된 AMI가 제공될 때까지 영향을 받습니다. 고객은 Bottlerocket API를 사용하여 노드별 임시 신뢰 재정의를 적용해야 합니다.
노드별 임시 신뢰 재정의
bash
apiclient apply <<'EOF'
# emSign ECC Root CA - C3 (O=eMudhra Inc)
# SHA-256 BC:4D:80:9B:15:18:9D:78:DB:3E:1D:8C:F4:F9:72:6A:79:5D:A1:64:3C:A5:F1:35:8E:1D:DB:0E:DC:0D:7E:B3
[settings.pki.emsign-ecc-c3]
trusted = false
data = "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUNLekNDQWJHZ0F3SUJBZ0lLZTNHMmdsYTRFbnljcURBS0JnZ3Foa2pPUFFRREF6QmFNUXN3Q1FZRFZRUUdFd0pWVXpFVE1CRUcKQTFVRUN4TUtaVzFUYVdkdUlGQkxTVEVVTUJJR0ExVUVDaE1MWlUxMVpHaHlZU0JKYm1NeElEQWVCZ05WQkFNVEYyVnRVMmxuYmlCRgpRME1nVW05dmRDQkRRU0F0SUVNek1CNFhEVEU0TURJeE9ERTRNekF3TUZvWERUUXpNREl4T0RFNE16QXdNRm93V2pFTE1Ba0dBMVVFCkJoTUNWVk14RXpBUkJnTlZCQXNUQ21WdFUybG5iaUJRUzBreEZEQVNCZ05WQkFvVEMyVk5kV1JvY21FZ1NXNWpNU0F3SGdZRFZRUUQKRXhkbGJWTnBaMjRnUlVORElGSnZiM1FnUTBFZ0xTQkRNekIyTUJBR0J5cUdTTTQ5QWdFR0JTdUJCQUFpQTJJQUJQMmxZYTU3SmhBZAo2YmNpTUs0RzlJR3pzVUp4bFRtODAxTGpyNi81OHBjMWtqWkdEb2VWamJrNVd1bTczOUQreUFkQlBMdFZiNE9qYXZ0aXNJR0pBbkI5ClNNVks0K2tpVkNKTms3dENESzkzbkNPbWZkZGhFYzVseC9oLy92WHlxYU5DTUVBd0hRWURWUjBPQkJZRUZQdGFTTkNBSUVEeXFPa0EKQjJrWmQ2Zm13L1RQTUE0R0ExVWREd0VCL3dRRUF3SUJCakFQQmdOVkhSTUJBZjhFQlRBREFRSC9NQW9HQ0NxR1NNNDlCQU1EQTJnQQpNR1VDTVFDMDJDOENpZjIyVEdLNlEwNFRoSEsxcnQwYzN0YTEzRmFQV0VCYUxkNGdUQ0tEeXBPb2Z1NFNRTWZXaDAvNDM0VUNNQndVClpPUjhsb01SbkxEUldtRkxwZzlKMHdEOG9memtwZjkvcmRjdzBNZDNmNzZCQjFVd1VDQVU5VmM0Q3FneFVRPT0KLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo="
# emSign ECC Root CA - G3 (O=eMudhra Technologies Limited)
# SHA-256 86:A1:EC:BA:08:9C:4A:8D:3B:BE:27:34:C6:12:BA:34:1D:81:3E:04:3C:F9:E8:A8:62:CD:5C:57:A3:6B:BE:6B
[settings.pki.emsign-ecc-g3]
trusted = false
data = "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUNUakNDQWRPZ0F3SUJBZ0lLUFBZSHFXaHdEdHFMaERBS0JnZ3Foa2pPUFFRREF6QnJNUXN3Q1FZRFZRUUdFd0pKVGpFVE1CRUcKQTFVRUN4TUtaVzFUYVdkdUlGQkxTVEVsTUNNR0ExVUVDaE1jWlUxMVpHaHlZU0JVWldOb2JtOXNiMmRwWlhNZ1RHbHRhWFJsWkRFZwpNQjRHQTFVRUF4TVhaVzFUYVdkdUlFVkRReUJTYjI5MElFTkJJQzBnUnpNd0hoY05NVGd3TWpFNE1UZ3pNREF3V2hjTk5ETXdNakU0Ck1UZ3pNREF3V2pCck1Rc3dDUVlEVlFRR0V3SkpUakVUTUJFR0ExVUVDeE1LWlcxVGFXZHVJRkJMU1RFbE1DTUdBMVVFQ2hNY1pVMTEKWkdoeVlTQlVaV05vYm05c2IyZHBaWE1nVEdsdGFYUmxaREVnTUI0R0ExVUVBeE1YWlcxVGFXZHVJRVZEUXlCU2IyOTBJRU5CSUMwZwpSek13ZGpBUUJnY3Foa2pPUFFJQkJnVXJnUVFBSWdOaUFBUWpwUXk0TFJMMUtQT3hzdDNpQWhLQW5qbGZTVTJmeVNVMFdYVHN1d1ljCjU4QnlyK2l1TCtGQlZJY1VxRXF5Nkh5QzVsdHF0ZHl6ZGM2TEJ0Q0dJNzlHMVk0UFB3VDAxeHlTZnZhbFk4TDFYNDR1VDZFWUdRSXIKTWdxQ1pIMFdrOUdqUWpCQU1CMEdBMVVkRGdRV0JCUjhYUUtFRTlUTWlwdUJ6aGNjTGlrZW5FaGpRakFPQmdOVkhROEJBZjhFQkFNQwpBUVl3RHdZRFZSMFRBUUgvQkFVd0F3RUIvekFLQmdncWhrak9QUVFEQXdOcEFEQm1BakVBdnZOaHp3SVFIV1NWQjdnWWJvaUZCUytECkNCZVF5aCtLVE9nTkczcXhyZFdCQ1Vmdk82d0lCSHhjbWJIdFJ3ZlNBakVBbmJwVi9LbEs2TzN0NW5ZQlFudkkrR0RaalZHTFZUdjcKakh2clpRbkQrSmJOUjZpQzhoWlZkeVIrRWhDVkJDeWoKLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo="
# emSign Root CA - C1 (O=eMudhra Inc)
# SHA-256 12:56:09:AA:30:1D:A0:A2:49:B9:7A:82:39:CB:6A:34:21:6F:44:DC:AC:9F:39:54:B1:42:92:F2:E8:C8:60:8F
[settings.pki.emsign-root-c1]
trusted = false
data = "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"
EOF