Cập nhật lần thứ ba: 28/05/2016 4:30 chiều PDT
Cập nhật lần thứ hai: 07/05/2016 2:30 chiều Giờ PDT
Cập nhật lần đầu: 2016/05/03 11:00 sáng Giờ PDT
Bản tin gốc: 03/05/2016 7:30 sáng Giờ PDT
Chúng tôi đã lưu ý đến bản tư vấn OpenSSL đăng tại https://www.openssl.org/news/secadv/20160503.txt. Đội ngũ OpenSSL đã phát hành các phiên bản OpenSSL 1.0.2h và 1.0.1t.
Cơ sở hạ tầng AWS thường được truy cập bằng trình duyệt web, chẳng hạn như Bảng điều khiển quản lý AWS, S3, CloudFront và ELB, sẽ ưu tiên và khuyên dùng bộ mật mã AES-GCM TLS/SSL. Do đó, những hoạt động tương tác của khách hàng với AWS qua các trình duyệt web hoặc ứng dụng máy khách hiện đại, giúp đàm phán AES-GCM một cách phù hợp cho TLS/SSL, sẽ không bị ảnh hưởng bởi sự cố này.
Nhất quán với các phương pháp bảo mật tốt nhất mà AWS đề xuất, AWS hết sức khuyến khích khách hàng cập nhật OpenSSL lên phiên bản mới nhất để cải thiện tính bảo mật và độ ổn định trong các môi trường và ứng dụng khách được triển khai AWS của chính họ.
Gói OpenSSL đã cập nhật có sẵn trong kho Amazon Linux. Các phiên bản được khởi chạy với cấu hình Amazon Linux mặc định vào hoặc sau ngày 03/05/2016 sẽ tự động bao gồm gói đã cập nhật. Khách hàng đang có các phiên bản AMI Amazon Linux nên chạy lệnh sau để đảm bảo nhận được gói đã cập nhật:
yum update openssl
Thông tin thêm về gói Amazon Linux được cập nhật có tại Trung tâm bảo mật AMI của Amazon Linux.
AWS sẽ cập nhật OpenSSL một cách phù hợp để cải thiện tính bảo mật cho những khách hàng AWS đang sử dụng trình duyệt web lỗi thời nên không thể đàm phán bộ mật mã AES-GCM TLS/SSL ưu tiên và đề xuất AWS khi tương tác với Bảng điều khiển quản lý AWS.
AWS đã cập nhật OpenSSL cho S3, ELB và CloudFront để hỗ trợ những khách hàng AWS truyền nội dung bảo vệ bằng TLS/SSL, được truy cập bởi các trình duyệt web lỗi thời nên không thể đàm phán bộ mật mã AES-GCM TLS/SSL ưu tiên và đề xuất AWS.
Khách hàng không cần thực hiện hành động nào khác ngoài cập nhật phiên bản Amazon Linux.