pkblanks/remediating-cve-2013-3900-enablecertpaddingcheck-Schritt-für-Schritt-Bericht zur Behebung von CVE-2013-3900 auf einer Windows Server 2019 Azure VM unter Verwendung von authentifizierten Tenable/Nessus-Scans und Registry-Härtung zur Durchsetzung von Zertifikat-Padding-Prüfungen.
Behebung von CVE-2013-3900 (EnableCertPaddingCheck)
Während eines authentifizierten Schwachstellenscans mit Tenable/Nessus habe ich CVE-2013-3900 auf meiner in Microsoft Azure gehosteten Windows Server 2019 Datacenter-Instanz identifiziert. Der Scan nutzte gültige administrative Anmeldeinformationen für eingehende Prüfungen und bestätigte das Vorhandensein dieser Schwachstelle auf Betriebssystemebene.
CVE-2013-3900 ist eine WinVerifyTrust-Signaturvalidierungsschwachstelle, die es Angreifern ermöglichen kann, die digitale Signaturprüfung zu umgehen, insbesondere durch böswillig modifizierte PE-Dateien.
Um diese Schwachstelle zu entschärfen, werde ich den von Microsoft empfohlenen Fix auf Registrierungsebene anwenden, der eine strengere Signaturprüfung erzwingt. Ich werde auch überprüfen, ob diese Abhilfemaßnahme in unserer Umgebung sicher angewendet werden kann, ohne die Anwendungskompatibilität zu beeinträchtigen.
Während eines authentifizierten Schwachstellenscans mit Tenable/Nessus hat die interne Scan-Engine CVE-2013-3900 – eine bekannte Schwachstelle mit hohem Schweregrad – auf einer in Microsoft Azure gehosteten Windows Server 2019 Datacenter-Instanz markiert. Nessus stuft diese Schwachstelle als hoch ein, da sie die digitale Signaturprüfung umgehen kann und so bösartige Nutzlasten als vertrauenswürdigen Code erscheinen lassen kann. Die ersten internen Scanergebnisse mit Nessus sind unten zu sehen:
Um diese Schwachstelle zu entschärfen, wurde die folgende Konfiguration auf Registrierungsebene angewendet:
Suchen Sie nach cmd, klicken Sie mit der rechten Maustaste auf „Eingabeaufforderung“ und wählen Sie „Als Administrator ausführen“.
reg add "HKLM\Software\Microsoft\Cryptography\Wintrust\Config" /v EnableCertPaddingCheck /t REG_DWORD /d 1 /f
reg add "HKLM\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config" /v EnableCertPaddingCheck /t REG_DWORD /d 1 /f
Diese Registrierungsschlüssel aktivieren strenge Zertifikat-Padding-Prüfungen, indem sie EnableCertPaddingCheck auf 1 setzen, und verhindern so, dass Angreifer Padding-Fehler in signierten PE-Dateien ausnutzen.
Ein Systemneustart wurde durchgeführt, um sicherzustellen, dass die Änderungen auf alle Prozesse und Dienste angewendet werden.
Nach einem erfolgreichen authentifizierten Scan ist nun zu beobachten, dass die Schwachstelle beseitigt wurde, wie unten gezeigt:
Nach der Behebung bestätigte ein anschließender authentifizierter Nessus-Scan, dass CVE-2013-3900 vollständig behoben wurde.
⚠️ Risiken bei Nichtbehebung von CVE-2013-3900:
CVE-2013-3900 ist ein kritischer, stealthy Angriffsvektor, der das Vertrauensmodell digital signierter Software untergräbt. Durch sofortige Behebung und Überprüfung ist dieses System nun gegen diese Bedrohung gehärtet.
Regelmäßiges authentifiziertes Scannen, kombiniert mit Patch-Validierung und Konfigurationsdurchsetzung, bleibt ein Eckpfeiler unseres Schwachstellenmanagement-Programms.
