cybercondor/fix-winverifytrustsignaturevalidationvulnBehebung der WinVerifyTrust-Signaturvalidierungsschwachstelle, CVE-2013-3900, QID-378332
Behebt die Schwachstelle bei der WinVerifyTrust-Signaturvalidierung, CVE-2013-39001, QID-3783322
Dieser Fix ist für 64-Bit-Windows-Computer gedacht
Dieser PowerShell-Code ist eine Möglichkeit, die Schwachstelle zu beheben – abgesehen vom Erstellen einer .reg-Datei und der Verwendung von reg import <file.reg> zum Importieren des neuen Registrierungsschlüssels.
Vollständig gepacktes Skript:
Wenn HKLM:\Software\Microsoft\Cryptography\Wintrust\Config nicht gefunden wird, Pfad und Schlüssel erstellen.
Wenn der Schlüssel gefunden wird, Ergebnisse des Schlüssels anzeigen – nichts weiter tun. usw.
Der neue Registrierungsschlüssel sollte vom Typ REG_SZ sein.
"Wirkt sich das neue Überprüfungsverhalten auf bereits installierte Software aus?
Das neue strengere Überprüfungsverhalten gilt, wenn es aktiviert ist, in erster Linie für Binärdateien im Portable-Executable-Format (PE-Binärdateien), die mit dem Windows-Authenticode-Signaturformat signiert sind. Binärdateien, die nicht mit diesem Format signiert sind oder WinVerifyTrust nicht zur Signaturüberprüfung verwenden, sind von dem neuen Verhalten nicht betroffen. Am wahrscheinlichsten betroffen sind PE-Installationsdateien, die über das Internet verbreitet und zum Zeitpunkt des Downloads angepasst werden. Das häufigste Szenario, in dem Benutzer eine Auswirkung wahrnehmen könnten, ist das Herunterladen und Installieren neuer Anwendungen. Dies ist nur der Fall, wenn Kunden sich dafür entschieden haben, das strengere Überprüfungsverhalten zu aktivieren; danach können Benutzer beim Versuch, neue Anwendungen mit Signaturen zu installieren, die die Validierung nicht bestehen, Warnmeldungen beobachten.
Warum veröffentlicht Microsoft ein CVE von 2013 erneut?
Wir veröffentlichen CVE-2013-3900 im Security Update Guide erneut, um die Tabelle der Sicherheitsupdates zu aktualisieren und Kunden darüber zu informieren, dass EnableCertPaddingCheck in allen derzeit unterstützten Versionen von Windows 10 und Windows 11 verfügbar ist. Obwohl sich das Format von dem ursprünglichen, 2013 veröffentlichten CVE unterscheidet, bleiben die hier enthaltenen Informationen gegenüber dem Originaltext vom 10. Dezember 2013 unverändert.
Microsoft beabsichtigt nicht, das strengere Überprüfungsverhalten als Standardfunktion in unterstützten Versionen von Microsoft Windows durchzusetzen. Dieses Verhalten bleibt als Opt-in-Funktion über die Registrierungsschlüssel-Einstellung verfügbar und ist in unterstützten Editionen von Windows verfügbar, die seit dem 10. Dezember 2013 veröffentlicht wurden. Dies umfasst alle derzeit unterstützten Versionen von Windows 10 und Windows 11. Der unterstützende Code für diesen Registrierungsschlüssel wurde zum Zeitpunkt der Veröffentlichung von Windows 10 und Windows 11 integriert, sodass kein Sicherheitsupdate erforderlich ist; der Registrierungsschlüssel muss jedoch gesetzt werden. Siehe die Tabelle der Sicherheitsupdates für die Liste der betroffenen Software.
Beschreibung der Schwachstelle
Eine Schwachstelle bezüglich Remotecodeausführung besteht in der Art und Weise, wie die Funktion WinVerifyTrust die Windows-Authenticode-Signaturüberprüfung für Portable-Executable-Dateien (PE-Dateien) behandelt. Ein anonymer Angreifer könnte die Schwachstelle ausnutzen, indem er eine vorhandene signierte ausführbare Datei so modifiziert, dass nicht überprüfte Teile der Datei genutzt werden, um der Datei bösartigen Code hinzuzufügen, ohne die Signatur zu invalidieren. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, könnte die vollständige Kontrolle über ein betroffenes System erlangen. Der Angreifer könnte dann Programme installieren; Daten ansehen, ändern oder löschen; oder neue Konten mit vollständigen Benutzerrechten erstellen.
Wenn ein Benutzer mit administrativen Benutzerrechten angemeldet ist, könnte ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, die vollständige Kontrolle über ein betroffenes System erlangen. Der Angreifer könnte dann Programme installieren; Daten ansehen, ändern oder löschen; oder neue Konten mit vollständigen Benutzerrechten erstellen. Benutzer, deren Konten mit weniger Benutzerrechten auf dem System konfiguriert sind, könnten weniger stark betroffen sein als Benutzer, die mit administrativen Benutzerrechten arbeiten.
Die Ausnutzung dieser Schwachstelle erfordert, dass ein Benutzer oder eine Anwendung eine speziell gestaltete, signierte PE-Datei ausführt oder installiert. Ein Angreifer könnte eine vorhandene signierte Datei so modifizieren, dass sie bösartigen Code enthält, ohne die Signatur zu invalidieren. Dieser Code würde im Kontext der Berechtigungen ausgeführt, mit denen die signierte PE-Datei gestartet wurde.
In einem E-Mail-Angriffsszenario könnte ein Angreifer die Schwachstelle ausnutzen, indem er einem Benutzer eine E-Mail-Nachricht mit der speziell gestalteten PE-Datei sendet und den Benutzer dazu bringt, die Datei zu öffnen.
In einem webbasierten Angriffsszenario müsste ein Angreifer eine Website hosten, die eine speziell gestaltete PE-Datei enthält. Darüber hinaus könnten kompromittierte Websites und Websites, die vom Benutzer bereitgestellte Inhalte akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, die zur Ausnutzung dieser Schwachstelle verwendet werden könnten. Ein Angreifer hätte keine Möglichkeit, Benutzer zu zwingen, eine Website zu besuchen, die die speziell gestaltete PE-Datei hostet. Stattdessen müsste ein Angreifer Benutzer dazu bringen, die Website zu besuchen, in der Regel, indem er sie dazu bringt, einen Link in einer E-Mail- oder Instant-Messenger-Nachricht anzuklicken, der sie zur Website des Angreifers führt.
Updateverlauf
Am 10. Dezember 2013 veröffentlichte Microsoft ein Update für alle unterstützten Versionen von Microsoft Windows, das die Art und Weise ändert, wie Signaturen für Binärdateien überprüft werden, die mit dem Windows-Authenticode-Signaturformat signiert sind. Diese Änderung kann optional aktiviert werden. Wenn sie aktiviert ist, lässt das neue Verhalten der Windows-Authenticode-Signaturüberprüfung keine überflüssigen Informationen in der WIN_CERTIFICATE-Struktur mehr zu, und Windows erkennt nicht konforme Binärdateien nicht mehr als signiert an. Am 29. Juli 2014 gab Microsoft bekannt, dass es nicht mehr beabsichtigt, das strengere Überprüfungsverhalten als Standardfunktion in unterstützten Versionen von Microsoft Windows durchzusetzen. Bis heute bleibt es als Opt-in-Funktion in allen derzeit unterstützten Versionen von Microsoft Windows verfügbar.
Empfehlung. Microsoft empfiehlt Autoren ausführbarer Dateien, alle signierten Binärdateien an den neuen Überprüfungsstandard anzupassen, indem sie sicherstellen, dass diese keine überflüssigen Informationen in der WIN_CERTIFICATE-Struktur enthalten. Microsoft empfiehlt Kunden außerdem, diese Änderung angemessen zu testen, um zu bewerten, wie sie sich in ihren Umgebungen verhalten wird..."1
MSRC.Microsoft – Schwachstelle bei der WinVerifyTrust-Signaturvalidierung https://msrc.microsoft.com/update-guide/vulnerability/CVE-2013-3900 ↩ ↩2
Aktuelle Änderungen in der Qualys-Abdeckung für die Microsoft-WinVerifyTrust-Signaturvalidierungsschwachstelle (CVE-2013-3900) https://notifications.qualys.com/product/2023/04/07/recent-changes-in-qualys-coverage-for-microsoft-winverifytrust-signature-validation-vulnerability-cve-2013-3900 ↩
