cybercondor/fix-winverifytrustsignaturevalidationvulnإصلاح ثغرة التحقق من التوقيع في WinVerifyTrust، CVE-2013-3900، QID-378332
إصلاح ثغرة التحقق من توقيع WinVerifyTrust، CVE-2013-39001، QID-3783322
هذا الإصلاح مخصص لأجهزة الكمبيوتر التي تعمل بنظام 64 بت ويندوز
يعد هذا الكود بلغة PowerShell أحد الطرق لإصلاح الثغرة - بخلاف إنشاء ملف .reg واستخدام reg import <file.reg> لاستيراد مفتاح التسجيل الجديد.
البرنامج النصي الكامل المعبأ:
إذا لم يتم العثور على المسار HKLM:\Software\Microsoft\Cryptography\Wintrust\Config، فأنشئ المسار والمفتاح.
إذا تم العثور على المفتاح، فاعرض نتائج المفتاح - لا تفعل شيئًا. إلخ.
من المتوقع أن يكون مفتاح التسجيل الجديد من النوع: REG_SZ
"هل يؤثر سلوك التحقق الجديد على البرامج المثبتة بالفعل؟
ينطبق سلوك التحقق الأكثر صرامة الجديد، عند تمكينه، بشكل أساسي على الملفات التنفيذية المحمولة (PE) الموقعة بتنسيق توقيع Windows Authenticode. لا تتأثر بالسلوك الجديد الملفات الثنائية غير الموقعة بهذا التنسيق أو التي لا تستخدم WinVerifyTrust للتحقق من التوقيعات. من المرجح أن تتأثر الملفات الثنائية التي هي ملفات تثبيت PE يتم توزيعها عبر الإنترنت ويتم تخصيصها وقت التنزيل. السيناريو الأكثر شيوعًا الذي قد يلاحظ فيه المستخدمون تأثيرًا هو أثناء تنزيل وتثبيت تطبيقات جديدة. هذا هو الحال فقط إذا اختار العملاء تمكين سلوك التحقق الأكثر صرامة، وبعد ذلك قد يلاحظ المستخدمون رسائل تحذير عند محاولة تثبيت تطبيقات جديدة بتوقيعات تفشل في التحقق.
لماذا تعيد مايكروسوفت نشر CVE من عام 2013؟
نقوم بإعادة نشر CVE-2013-3900 في دليل تحديث الأمان لتحديث جدول تحديثات الأمان ولإعلام العملاء بأن EnableCertPaddingCheck متاح في جميع الإصدارات المدعومة حاليًا من Windows 10 وWindows 11. على الرغم من أن التنسيق مختلف عن CVE الأصلي المنشور في عام 2013، تظل المعلومات الواردة هنا دون تغيير عن النص الأصلي المنشور في 10 ديسمبر 2013.
لا تخطط مايكروسوفت لفرض سلوك التحقق الأكثر صرامة كوظيفة افتراضية على الإصدارات المدعومة من مايكروسوفت ويندوز. يظل هذا السلوك متاحًا كميزة اختيارية عبر إعداد مفتاح التسجيل (reg key)، وهو متاح على الإصدارات المدعومة من ويندوز التي تم إصدارها منذ 10 ديسمبر 2013. يشمل ذلك جميع الإصدارات المدعومة حاليًا من Windows 10 وWindows 11. تم دمج الكود الداعم لمفتاح التسجيل هذا في وقت إصدار Windows 10 وWindows 11، لذلك لا يلزم أي تحديث أمني؛ ومع ذلك، يجب تعيين مفتاح التسجيل. راجع جدول تحديثات الأمان للحصول على قائمة البرامج المتأثرة.
وصف الثغرة الأمنية
توجد ثغرة أمنية لتنفيذ التعليمات البرمجية عن بُعد في الطريقة التي تتعامل بها وظيفة WinVerifyTrust مع التحقق من توقيع Windows Authenticode للملفات التنفيذية المحمولة (PE). يمكن لمهاجم مجهول استغلال الثغرة عن طريق تعديل ملف قابل للتنفيذ موقع موجود للاستفادة من الأجزاء غير الموثقة من الملف بطريقة تضيف تعليمات برمجية ضارة إلى الملف دون إبطال التوقيع. يمكن للمهاجم الذي يستغل هذه الثغرة بنجاح السيطرة الكاملة على النظام المتأثر. يمكن للمهاجم بعد ذلك تثبيت البرامج؛ أو عرض البيانات أو تغييرها أو حذفها؛ أو إنشاء حسابات جديدة بصلاحيات مستخدم كاملة.
إذا قام مستخدم بتسجيل الدخول بصلاحيات مستخدم إداري، يمكن للمهاجم الذي يستغل هذه الثغرة بنجاح السيطرة الكاملة على النظام المتأثر. يمكن للمهاجم بعد ذلك تثبيت البرامج؛ أو عرض البيانات أو تغييرها أو حذفها؛ أو إنشاء حسابات جديدة بصلاحيات مستخدم كاملة. قد يكون المستخدمون الذين تم تكوين حساباتهم بحيث يكون لديهم صلاحيات مستخدم أقل على النظام أقل تأثراً من المستخدمين الذين يعملون بصلاحيات مستخدم إداري.
يتطلب استغلال هذه الثغرة أن يقوم مستخدم أو تطبيق بتشغيل أو تثبيت ملف PE موقع مصمم خصيصًا. يمكن للمهاجم تعديل ملف موقع موجود لتضمين تعليمات برمجية ضارة دون إبطال التوقيع. سيتم تنفيذ هذه التعليمات البرمجية في سياق الصلاحيات التي تم فيها تشغيل ملف PE الموقع.
في سيناريو هجوم عبر البريد الإلكتروني، يمكن للمهاجم استغلال الثغرة عن طريق إرسال رسالة بريد إلكتروني إلى مستخدم تحتوي على ملف PE المصمم خصيصًا وإقناع المستخدم بفتح الملف.
في سيناريو هجوم قائم على الويب، يجب على المهاجم استضافة موقع ويب يحتوي على ملف PE مصمم خصيصًا. بالإضافة إلى ذلك، يمكن أن تحتوي مواقع الويب المخترقة ومواقع الويب التي تقبل أو تستضيف محتوى يقدمه المستخدم على محتوى مصمم خصيصًا يمكن استخدامه لاستغلال هذه الثغرة. لن يكون لدى المهاجم أي طريقة لإجبار المستخدمين على زيارة موقع ويب يستضيف ملف PE المصمم خصيصًا. بدلاً من ذلك، يجب على المهاجم إقناع المستخدمين بزيارة موقع الويب، عادةً عن طريق جعلهم ينقرون على رابط في رسالة بريد إلكتروني أو رسالة مراسلة فورية توجههم إلى موقع المهاجم.
تاريخ التحديث
في 10 ديسمبر 2013، أصدرت مايكروسوفت تحديثًا لجميع الإصدارات المدعومة من مايكروسوفت ويندوز يغير طريقة التحقق من التوقيعات للملفات الثنائية الموقعة بتنسيق توقيع Windows Authenticode. يمكن تمكين هذا التغيير على أساس اختياري. عند التمكين، لن يسمح السلوك الجديد للتحقق من توقيع Windows Authenticode بعد الآن بوجود معلومات خارجية في بنية WIN_CERTIFICATE، ولن يتعرف Windows بعد الآن على الملفات الثنائية غير المتوافقة كملفات موقعة. في 29 يوليو 2014، أعلنت مايكروسوفت أنها لم تعد تخطط لفرض سلوك التحقق الأكثر صرامة كوظيفة افتراضية على الإصدارات المدعومة من مايكروسوفت ويندوز. حتى هذا التاريخ، يظل متاحًا كميزة اختيارية في جميع الإصدارات المدعومة حاليًا من مايكروسوفت ويندوز.
توصية. توصي مايكروسوفت بأن ينظر مؤلفو الملفات التنفيذية في توحيد جميع الملفات الثنائية الموقعة وفقًا لمعيار التحقق الجديد من خلال التأكد من أنها لا تحتوي على أي معلومات خارجية في بنية WIN_CERTIFICATE. توصي مايكروسوفت أيضًا بأن يقوم العملاء باختبار هذا التغيير بشكل مناسب لتقييم كيفية تصرفه في بيئاتهم..."1
MSRC.Microsoft - ثغرة التحقق من توقيع WinVerifyTrust https://msrc.microsoft.com/update-guide/vulnerability/CVE-2013-3900 ↩ ↩2
التغييرات الأخيرة في تغطية Qualys لثغرة التحقق من توقيع Microsoft WinVerifyTrust (CVE-2013-3900) https://notifications.qualys.com/product/2023/04/07/recent-changes-in-qualys-coverage-for-microsoft-winverifytrust-signature-validation-vulnerability-cve-2013-3900 ↩
