Terceira atualização: 28/05/2016 16h30m PDT
Segunda atualização: 07/05/2016 14h30m PDT
Primeira atualização: 03/05/2016 11h PDT
Boletim original: 03/05/2016 07h30m PDT
Estamos cientes do informe sobre OpenSSL publicado em https://www.openssl.org/news/secadv/20160503.txt. A equipe do projeto OpenSSL lançou as versões 1.0.2h e 1.0.1t do OpenSSL.
A infraestrutura da AWS que normalmente é acessada por navegadores (p. ex., o Console de Gerenciamento da AWS, o S3, o CloudFront e o ELB) prefere e recomenda os pacotes de código AES-GCM TLS/SSL. Portanto, esse problema não afeta interações dos clientes com a AWS por meio de navegadores modernos ou aplicativos cliente que negociam adequadamente AES-GCM para TLS/SSL.
Em conformidade com as melhores práticas de segurança recomendadas pela AWS, a AWS recomenda veementemente que os clientes atualizem para a versão mais recente do OpenSSL visando melhores níveis de segurança e estabilidade em seus próprios ambientes implantados e aplicativos cliente da AWS.
Os repositórios do Amazon Linux disponibilizam um pacote atualizado do OpenSSL. Instâncias executadas com a configuração padrão do Amazon Linux a partir de 03/05/2016 incluirão automaticamente o pacote atualizado. Os clientes que têm instâncias existentes do Amazon Linux AMI devem executar o seguinte comando para garantir o recebimento dos pacotes atualizados:
yum update openssl
O Centro de segurança do Amazon Linux AMI disponibiliza mais informações sobre o pacote atualizado do Amazon Linux.
A AWS vai atualizar adequadamente o OpenSSL a fim de aprimorar a segurança dos clientes da AWS que estejam utilizando navegadores desatualizados que não sejam capazes de negociar os pacotes de código AES-GCM TLS/SSL preferenciais e recomendados pela AWS ao interagir com o Console de Gerenciamento da AWS.
A AWS atualizou o OpenSSL para o S3, ELB e CloudFront a fim de auxiliar os clientes da AWS que comercializam conteúdo protegido por TLS/SSL que é acessado por navegadores desatualizados e incapazes de negociar os pacotes de código AES-GCM TLS/SSL preferenciais e recomendados pela AWS.
O cliente não precisa adotar nenhuma outra medida além da atualização das instâncias do Amazon Linux.