CVE-2026-111943：eMudhra AWS 信任憑證包中的中繼 CA 金鑰復原
公告 ID： 2026-150-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 24 日 20:00 PDT
摘要：
AWS 擁有的 TLS 信任憑證包是 AWS 服務用來驗證對客戶設定端點之對外 TLS 連線的憑證存放區，包括身分提供者端點、來源伺服器和 Webhook 目的地。我們發現了 CVE-2026-111943 問題，這是一項影響外部憑證授權單位 (eMudhra/emSign) 的加密金鑰產生問題；由於 P-384 金鑰產生過程發生災難性的熵故障，其中繼 CA 私密金鑰可輕易還原。八個中繼 CA 私密金鑰 (六個 TLS、兩個程式碼簽署) 是以小整數的純量值產生，使其在無需特殊工具的情況下即可透過數學方式還原。請注意，若客戶的 TLS 用戶端會強制執行憑證撤銷檢查 (OCSP 或 CRL 失敗即關閉)，則不受影響，因為簽發 CA 已於 2026-10-18 撤銷受影響的中繼憑證，而交叉簽署 CA 也於 2026-10-19 撤銷其副本。
受影響的根憑證：
- AAA Certificate Services (SPKI SHA-256: bd153ed7b0434f6886b17bce8bbe84ed340c7132d702a8f4fa318f756ecbd6f3)
- emSign 根 TLS CA – G3 (SPKI SHA-256: c619e4780ed8e0abeda24ad732567de4383a7ea941338f6d1a7d1b49ac792fe9)
- emSign ECC 根 CA – G3 (SPKI SHA-256: 8d417db2dd8bf5e3084d1e3f196d583849d81bdd4c00c70b9d39369e96b8c782)
目前緩解狀態：
- 共用 AWS 信任存放區的根憑證移除變更已合併，並於 2026-10-21 部署至正式上線版本集。
- AWS SDK for Python (boto3 / botocore) 已更新，並以 1.43.117 版發布至 PyPI。
- Amazon CloudFront 正於邊緣 CA 憑證包中部署根憑證移除，目標日期為 2026-10-28。
- Amazon Linux 2 與 Amazon Linux 2023 更新現已推出。客戶應更新 ca-certificates 套件：sudo yum update ca-certificates。如需更多詳細資訊，請參閱 ALAS CVE-2026-113470 與 CVE-2026-111943。
- Amazon Corretto 已在所有支援版本線發布更新版 JDK，並移除受影響的根憑證。
- Bottlerocket 正在發布更新版 AMI，目標日期為 2026-10-26；最新 AMI 參數將於 2026-10-28 前在商業區域完成更新。
- Application Load Balancer 正從用於驗證 OIDC 與 JWT 驗證之身分提供者端點的信任存放區中移除受影響的根憑證。已啟用 OIDC 或 JWT 驗證的 Application Load Balancer 將於 2026-10-29 至 2026-10-31 之間進行更新；新建的 Application Load Balancer 將於 2026-11-02 前受到保護。在 Application Load Balancer 上使用 OIDC 或 JWT 驗證的客戶，將透過 AWS Health 收到通知。如果身分提供者憑證鏈結至其中一個受影響的根憑證，請於 2026-10-28 前將其更換為由 AWS 信任的憑證授權單位所簽發的憑證。
- AWS Security Token Service (STS) 與 Amazon Cognito 已完成部署信任存放區更新，移除用於驗證對身分提供者端點之對外 TLS 連線的受影響根憑證。
- RDS for SQL Server 正在更新受管主機以移除受影響的根憑證，目標為 2026-10-30。客戶不需採取任何動作。
- EMR 正發布更新版本，目標日期為 2026-10-31。客戶應於更新推出時進行更新。
緩解指引：
- Amazon CloudFront： 若客戶的原始伺服器憑證鏈結至三個受影響根憑證之一，當 AWS 從 CloudFront 邊緣 CA 憑證包移除這些根憑證時，可能會發生 TLS 驗證失敗。受影響的客戶已透過其 Personal Health Dashboard 收到通知。
- Elastic Load Balancing (Application Load Balancer)： AWS 正透過 AWS Health 通知使用 OIDC 或 JWT 驗證的 Application Load Balancer 客戶。如果您的身分提供者端點所出示的憑證鏈結至其中一個受影響的根憑證，請於 2026-10-28 前將其更換為由 AWS 信任的憑證授權單位所簽發的憑證。
- Amazon Corretto： 客戶應升級至最新版本，這些版本現已開放下載。
- Amazon Linux 2 與 Amazon Linux 2023： ca-certificates 套件的更新現已推出：
sudo yum update ca-certificates - AWS SDK for Python (boto3 / botocore)：AWS SDK for Python (boto3 / botocore)：更新至 botocore 1.43.117 版或更新版本。
- Bottlerocket： 在 Amazon Elastic Kubernetes Service (EKS) 或 Amazon Elastic Container Service (ECS) 上執行 Bottlerocket 型工作負載，且 AMI 版本為 v1.67.0 或更低版本的客戶，在更新版 AMI 推出前均受影響。客戶應使用 Bottlerocket API 套用暫時性每節點信任覆寫：
暫時性每節點信任覆寫
bash
apiclient apply <<'EOF'
# emSign ECC Root CA - C3 (O=eMudhra Inc)
# SHA-256 BC:4D:80:9B:15:18:9D:78:DB:3E:1D:8C:F4:F9:72:6A:79:5D:A1:64:3C:A5:F1:35:8E:1D:DB:0E:DC:0D:7E:B3
[settings.pki.emsign-ecc-c3]
trusted = false
data = "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"
# emSign ECC Root CA - G3 (O=eMudhra Technologies Limited)
# SHA-256 86:A1:EC:BA:08:9C:4A:8D:3B:BE:27:34:C6:12:BA:34:1D:81:3E:04:3C:F9:E8:A8:62:CD:5C:57:A3:6B:BE:6B
[settings.pki.emsign-ecc-g3]
trusted = false
data = "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"
# emSign Root CA - C1 (O=eMudhra Inc)
# SHA-256 12:56:09:AA:30:1D:A0:A2:49:B9:7A:82:39:CB:6A:34:21:6F:44:DC:AC:9F:39:54:B1:42:92:F2:E8:C8:60:8F
[settings.pki.emsign-root-c1]
trusted = false
data = "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"
EOF