ID do boletim: 2026-150-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 24/10/2026 20:00 PDT

Resumo:

Os pacotes de confiança TLS da AWS são repositórios de certificados usados pelos serviços da AWS para validar conexões TLS de saída para endpoints configurados pelo cliente, incluindo endpoints de provedores de identidades, servidores de origem e destinos de webhooks. Identificamos a vulnerabilidade CVE-2026-111943, um problema na geração de chaves criptográficas que afeta uma Autoridade de Certificação externa (eMudhra/emSign), cujas chaves privadas de CAs intermediárias eram facilmente recuperáveis devido a falhas catastróficas de entropia na geração de chaves P-384. Oito chaves privadas de CAs intermediárias (seis TLS, duas de assinatura de código) foram geradas com valores escalares de números inteiros pequenos, tornando-as matematicamente recuperáveis sem ferramentas especializadas. Observe que clientes cujos clientes TLS exigem a verificação de revogação de certificados (OCSP ou CRL no modo fail-closed) não foram afetados, pois a CA emissora revogou as CAs intermediárias afetadas em 18/10/2026, e a CA de assinatura cruzada revogou suas cópias em 19/10/2026.

Raízes afetadas:

• AAA Certificate Services (SPKI SHA-256: bd153ed7b0434f6886b17bce8bbe84ed340c7132d702a8f4fa318f756ecbd6f3)
• emSign Root TLS CA – G3 (SPKI SHA-256: c619e4780ed8e0abeda24ad732567de4383a7ea941338f6d1a7d1b49ac792fe9)
• emSign ECC Root CA – G3 (SPKI SHA-256: 8d417db2dd8bf5e3084d1e3f196d583849d81bdd4c00c70b9d39369e96b8c782)

Status atual de mitigação:

• As alterações para remoção da CA raiz do repositório de confiança compartilhado da AWS foram mescladas e implantadas no conjunto de versões ativas em 21/10/2026.
• O AWS SDK para Python (boto3/botocore) foi atualizado e lançado para o PyPI como versão 1.43.117.
• O Amazon CloudFront está implantando a remoção de raízes do pacote de CAs de borda até a data prevista de 28/10/2026.
• As atualizações do Amazon Linux 2 e Amazon Linux 2023 já estão disponíveis. Os clientes devem atualizar o pacote ca-certificates: sudo yum update ca-certificates. Acompanhe os boletins ALAS CVE-2026-113470 e CVE-2026-111943 para obter mais informações.
• O Amazon Corretto lançou versões atualizadas do JDK em todas as linhas compatíveis, com as raízes afetadas removidas.
• O Bottlerocket está publicando AMIs atualizadas com previsão para 26/10/2026, com os parâmetros das AMIs mais recentes sendo atualizados nas regiões comerciais até 28/10/2026.
• O Application Load Balancer está removendo as raízes afetadas do repositório confiável usado para validar endpoints de provedores de identidades para autenticação OIDC e JWT. Os Application Load Balancers com a autenticação OIDC ou JWT habilitada estão sendo atualizados entre 29/10/2026 e 31/10/2026, e os Application Load Balancers recém-criados estarão protegidos até 02/11/2026. Os clientes que usam a autenticação OIDC ou JWT nos Application Load Balancers estão sendo notificados por meio do AWS Health. Se um certificado de provedor de identidades estiver encadeado a uma das raízes afetadas, substitua-o por um certificado de uma Autoridade de Certificação confiável da AWS até 28/10/2026.
• O AWS Security Token Service (STS) e o Amazon Cognito concluíram a implantação de atualizações de repositórios confiáveis, removendo as raízes afetadas usadas para validar conexões TLS de saída com endpoints de provedores de identidades.
• O RDS para SQL Server está atualizando os hosts gerenciados para remover as raízes afetadas, com previsão para 30/10/2026. Não é necessária nenhuma ação por parte do cliente.
• O EMR está lançando versões atualizadas previstas para 31/10/2026. Os clientes deverão atualizar quando disponível.

Orientação de mitigação:

• Amazon CloudFront: Os clientes cujos certificados de servidor de origem estejam encadeados a uma das três raízes afetadas podem enfrentar falhas de validação TLS à medida que a AWS as remove do pacote de CAs da borda do CloudFront. Os clientes afetados foram notificados por meio do Personal Health Dashboard.
  
  
• Elastic Load Balancing (Application Load Balancer): a AWS está notificando os clientes cujos Application Load Balancers usam a autenticação OIDC ou JWT por meio do AWS Health. Se o endpoint do seu provedor de identidades apresentar um certificado encadeado a uma das raízes afetadas, substitua-o por um certificado de uma Autoridade de Certificação confiável da AWS até 28/10/2026.
  
  
• Amazon Corretto: os clientes devem fazer o upgrade para as versões mais recentes, que agora estão disponíveis para download.
  
  
• Amazon Linux 2 e Amazon Linux 2023: a atualização para o pacote ca-certificates já está disponível:
       sudo yum update ca-certificates
  
  
• AWS SDK para Python (boto3/botocore): AWS SDK para Python (boto3/botocore): Atualize para a versão 1.43.117 ou posterior do botocore.
  
  
• Bottlerocket: os clientes que executam workloads baseadas no Bottlerocket no Amazon Elastic Kubernetes Service (EKS) ou no Amazon Elastic Container Service (ECS) em versões de AMI iguais ou inferiores à v1.67.0 permanecem afetados até que as AMIs atualizadas estejam disponíveis. Os clientes devem aplicar a substituição temporária de confiança por nó usando a API do Bottlerocket:

Referências:

• CVE-2026-111943

Envie um e-mail para aws-security@amazon.com  com qualquer dúvida ou preocupação relacionada à segurança.