CVE-2013-3900 Minderung (WinVerifyTrust / EnableCertPaddingCheck)

Dieses Repository enthält ein PowerShell-Skript zur Behebung und Überprüfung, das den Tenable/Nessus-Fund adressiert:

• Plugin ID: 166555
• Name: WinVerifyTrust-Signaturüberprüfung CVE-2013-3900 Minderung (EnableCertPaddingCheck)

Das Skript erzwingt die WinVerifyTrust-Zertifikat-Padding-Überprüfung durch Setzen von:

• EnableCertPaddingCheck (DWORD) = 1

Auf 64-Bit-Systemen verlangen Scanner, dass der Wert sowohl im nativen Registrierungspfad als auch im Wow6432Node (32-Bit-Ansicht) Registrierungspfad gesetzt ist.

Warum dies wichtig ist

CVE-2013-3900 bezieht sich darauf, wie Windows Authenticode-Signaturen mittels WinVerifyTrust überprüft.
Wenn die Zertifikat-Padding-Überprüfungen nicht erzwungen werden, können bestimmte manipulierte Signaturen in unsicheren Szenarien als gültig behandelt werden, und Schwachstellenscanner markieren den Host als nicht konform.

Tenable Plugin-Details

Umgebung

• Ziel: Windows 11 VM (x64)
• PowerShell Version: 5.1
• Scantyp: Tenable / Nessus
• Erforderliche Berechtigungen: Administrator

Was das Skript tut

✅ Stellt sicher, dass es als Administrator ausgeführt wird
✅ Erkennt, ob das Betriebssystem 64-Bit ist
✅ Stellt sicher, dass erforderliche Registrierungsschlüssel vorhanden sind
✅ Setzt EnableCertPaddingCheck auf:

• 1, wenn $secureEnvironment = $true (sicher / empfohlen)
• 0, wenn $secureEnvironment = $false (unsicher / Labor/Tests)

✅ Gibt eine klare Vorher/Nachher-Tabelle und das Compliance-Ergebnis aus

Skript-Pfad:

scripts/Set-WinVerifyTrustCertPadding.ps1

Verwendete Registrierungspfade

Das Skript wendet die Einstellung an auf:

• HKLM:\Software\Microsoft\Cryptography\Wintrust\Config
• HKLM:\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config (64-Bit-Betriebssystem)

Erzwungener Wert:

• EnableCertPaddingCheck (DWORD)

Verwendung

1. Öffnen Sie PowerShell als Administrator
2. (Optional) Bearbeiten Sie den Umschalter im Skript:
   • $secureEnvironment = $true → Minderung erzwingen (empfohlen)
   • $secureEnvironment = $false → Minderung deaktivieren (nur Labor/Tests)
3. Ausführen:

.\scripts\Set-WinVerifyTrustCertPadding.ps1

Technische Validierung

Das Skript überprüft die Konfiguration durch:

• Lesen beider Registrierungspfade
• Vergleichen des aktuellen Werts mit dem gewünschten Wert
• Ausgeben einer Compliance-Tabelle (Vorher → Nachher)
• Rückgabe des Exit-Codes 0 bei Erfolg

Nachweise (Vorher vs. Nachher)

Vor der Minderung (Scan 5)

Hoher Schweregrad-Fund vorhanden (Plugin 166555 – CVE-2013-3900).
Gesamtfunde: 5

Nach der Minderung (Scan 6)

Hoher Schweregrad-Fund entfernt.
Gesamtfunde reduziert: 5 → 4

Ergebnis

• Hohen Schweregrad-Fund CVE-2013-3900 entfernt
• Gesamtzahl der Schwachstellen reduziert
• Automatisierte Minderung mit Überprüfungslogik
• Vollständig kompatibel mit Windows PowerShell 5.1

Hinweise

• Ein Neustart ist in der Regel nicht erforderlich.
• Wenn der Scanner den Fund weiterhin meldet, stellen Sie sicher, dass ein authentifizierter Scan verwendet wird, und scannen Sie nach einem Neustart erneut.