ksgassama-lab/vulnerability-remediation-cve-2013-3900End-to-End-Behebung von CVE-2013-3900 mithilfe von PowerShell und Tenable. Demonstriert die Identifizierung von Schwachstellen, die Härtung der Registry und die automatisierte Überprüfung in einer Azure-Umgebung.
Dieses Projekt demonstriert einen realen Workflow für das Schwachstellenmanagement. Mit einer Azure-VM habe ich einen Signaturvalidierungsfehler mit hohem Schweregrad aufgespürt, ihn manuell per PowerShell bestätigt und einen Registry-basierten Fix bereitgestellt, um das System gegen unbefugte Codeausführung zu härten.
Die WinVerifyTrust-Funktion in Windows hatte einen hinterhältigen Fehler (CVE-2013-3900). Angreifer konnten schädlichen Code an eine signierte Datei "anhängen", ohne die digitale Signatur zu brechen. Das bedeutet, dass eine Datei als "vertrauenswürdig" erscheinen konnte, selbst wenn sie Schadcode enthielt, wodurch sie Sicherheitsprüfungen umgehen konnte.
Ich begann mit einem Tenable-Scan auf meiner Azure-VM (Host: Kaddy). Der Scan stufte eine Schwachstelle mit dem Schweregrad "High" ein (VPR 9.0), da dem System eine bestimmte Sicherheitseinstellung namens EnableCertPaddingCheck fehlte.
Ich habe mich nicht nur auf die Aussage des Scanners verlassen. Ich habe PowerShell verwendet, um zu prüfen, ob der Registrierungsschlüssel tatsächlich existierte
powershell Get-ItemProperty -Path "HKLM:\Software\Microsoft\Cryptography\Wintrust\Config" -Name EnableCertPaddingCheck
Ergebnis: Der Befehl schlug mit dem Fehler "Path does not exist" fehl. Das bestätigte, dass das System für diesen speziellen Exploit völlig offen war.
Anstatt die Registrierung manuell zu bearbeiten (RegEdit), habe ich ein PowerShell-Skript verwendet, um den Fix anzuwenden. Das ist schneller, wiederholbar und sicherer, insbesondere bei Hunderten von Maschinen.
Ich habe den Fix auf beide angewendet:
Standard-Registrierungspfad
32-Bit-Pfad (WoW6432Node)
Nachdem das Skript abgeschlossen war, habe ich die Überprüfung erneut ausgeführt. Wie in den endgültigen Logs gezeigt, ist der Wert von EnableCertPaddingCheck nun auf 1 gesetzt. Das System validiert jetzt streng das Zertifikats-Padding und schließt damit effektiv das Sicherheitsloch.
Über das Patchen hinaus: Ich habe gelernt, dass einige Schwachstellen nicht einfach durch die Ausführung von "Windows Update" behoben werden. Manchmal muss man in der Registrierung selbst Hand anlegen, um ein System tatsächlich zu härten.
Registry-Härtung: Die Beherrschung von HKLM über PowerShell ist für Sicherheitsexperten, die Systeme in großem Maßstab verwalten, unerlässlich.
