การอัปเดตครั้งที่สาม: 28/5/2016 16:30 น. เวลาปรับฤดูกาลของแปซิฟิก
การอัปเดตครั้งที่สอง: 7/5/2016 14:30 น. เวลาปรับฤดูกาลของแปซิฟิก
การอัปเดตครั้งที่หนึ่ง: 03/05/2016 11:00 น. PDT
กระดานข่าวต้นฉบับ: 03/05/2016 7:30 น. PDT
เราทราบว่ามีการให้คำปรึกษาของ OpenSSL โพสต์ไว้ที่ https://www.openssl.org/news/secadv/20160503.txt ทีมโปรเจกต์ OpenSSL เผยแพร่ OpenSSL เวอร์ชัน 1.0.2h และ1.0.1t แล้ว
โครงสร้างพื้นฐานของ AWS ที่มักเข้าถึงโดยเว็บเบราว์เซอร์ ตัวอย่างเช่น AWS Management Console, S3, CloudFront และ ELB จะต้องการและแนะนำชุดการเข้ารหัส AES-GCM TLS/SSL ด้วยเหตุนี้ การสื่อสารโต้ตอบของลูกค้ากับ AWS ผ่านเว็บเบราว์เซอร์ที่ทันสมัยหรือแอปพลิเคชันไคลเอนต์ซึ่งต่อรอง AES-GCM สำหรับ TLS/SSL อย่างเหมาะสมจะไม่ได้รับผลกระทบจากปัญหานี้
AWS ขอแนะนำเป็นอย่างยิ่งให้ลูกค้าอัปเดต OpenSSL เป็นรุ่นล่าสุด เพื่อให้มีการรักษาความปลอดภัยที่ปรับปรุงแล้วและมีเสถียรภาพในสภาพแวดล้อม AWS ที่มีการติดตั้งเพื่อใช้จริงและในแอปพลิเคชันไคลเอนต์ เพื่อให้สอดคล้องกับแนวทางปฏิบัติด้านการรักษาความปลอดภัยที่แนะนำของ AWS
แพคเกจ OpenSSL ที่ได้รับการอัปเดตจะพร้อมใช้งานภายในที่เก็บ Amazon Linux อินสแตนซ์ที่เปิดใช้งานด้วยการกำหนดค่าเริ่มต้นของ Amazon Linux ณ เวลาหรือหลังจาก 03/05/2016 จะรวมอยู่ในแพคเกจที่ได้รับการอัปเดต ลูกค้าที่มีอินสแตนซ์ Amazon Linux AMI ปัจจุบันควรเรียกใช้คำสั่งดังต่อไปนี้เพื่อให้แน่ใจว่าได้รับแพคเกจที่อัปเดตแล้ว:
yum update openssl
คุณสามารถดูข้อมูลเพิ่มเติมเกี่ยวกับแพคเกจ Amazon Linux ที่ได้รับการอัปเดตได้ที่ ศูนย์ความปลอดภัย Amazon Linux AMI
AWS จะอัปเดต OpenSSL อย่างเหมาะสมเพื่อปรับปรุงการรักษาความปลอดภัยสำหรับลูกค้า AWS ที่ใช้เว็บเบราว์เซอร์ที่ล้าสมัยซึ่งไม่สามารถต่อรองชุดการเข้ารหัส AES-GCM TLS/SSL ที่ AWS ต้องการและแนะนำเมื่อโต้ตอบกับ AWS Management Console
AWS ได้อัปเดต OpenSSL สำหรับ S3, ELB และ CloudFront แล้ว เพื่อช่วยให้ลูกค้า AWS ซึ่งจำหน่ายเนื้อหาที่มีการป้องกัน TLS/SSL ซึ่งเข้าถึงโดยเว็บเบราว์เซอร์ที่ล้าสมัยที่ไม่สามารถต่อรองชุดการเข้ารหัส AES-GCM TLS/SSL ซึ่ง AWS ต้องการและแนะนำ
ลูกค้าไม่จำเป็นต้องดำเนินการอื่นใดนอกเหนือจากการอัปเดตอินสแตนซ์ Amazon Linux