¿Por qué Microsoft vuelve a publicar un CVE de 2013?

Estamos republicando CVE-2013-3900 en la Guía de actualizaciones de seguridad para actualizar la tabla de Actualizaciones de seguridad e informar a los clientes de que EnableCertPaddingCheck está disponible en todas las versiones actualmente compatibles de Windows 10 y Windows 11. Aunque el formato es diferente del CVE original publicado en 2013, la información aquí contenida permanece sin cambios respecto del texto original publicado el 10 de diciembre de 2013.

Microsoft no planea imponer el comportamiento de verificación más estricto como funcionalidad predeterminada en las versiones compatibles de Microsoft Windows. Este comportamiento sigue disponible como característica opcional mediante la configuración de la clave de registro, y está disponible en las ediciones compatibles de Windows publicadas desde el 10 de diciembre de 2013. Esto incluye todas las versiones actualmente compatibles de Windows 10 y Windows 11. El código de soporte para esta clave de registro se incorporó en el momento del lanzamiento de Windows 10 y Windows 11, por lo que no se requiere ninguna actualización de seguridad; sin embargo, la clave de registro debe establecerse. Consulte la tabla de Actualizaciones de seguridad para ver la lista de software afectado.

Descripción de la vulnerabilidad

Existe una vulnerabilidad de ejecución remota de código en la forma en que la función WinVerifyTrust maneja la verificación de firmas de Windows Authenticode para archivos ejecutables portátiles (PE). Un atacante anónimo podría explotar la vulnerabilidad modificando un archivo ejecutable firmado existente para aprovechar porciones no verificadas del archivo de modo que agregue código malicioso al archivo sin invalidar la firma. Un atacante que explotara con éxito esta vulnerabilidad podría tomar el control total de un sistema afectado. El atacante podría entonces instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con derechos de usuario completos.

Si un usuario ha iniciado sesión con derechos de usuario administrativos, un atacante que explotara con éxito esta vulnerabilidad podría tomar el control total de un sistema afectado. El atacante podría entonces instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con derechos de usuario completos. Los usuarios cuyas cuentas estén configuradas con menos derechos de usuario en el sistema podrían verse menos afectados que los usuarios que operan con derechos de usuario administrativos.

La explotación de esta vulnerabilidad requiere que un usuario o aplicación ejecute o instale un archivo PE firmado especialmente diseñado. Un atacante podría modificar un archivo firmado existente para incluir código malicioso sin invalidar la firma. Este código se ejecutaría en el contexto del privilegio con el que se lanzó el archivo PE firmado.

En un escenario de ataque por correo electrónico, un atacante podría explotar esta vulnerabilidad enviando al usuario un mensaje de correo electrónico que contenga el archivo PE especialmente diseñado y convenciéndolo de que abra el archivo.

En un escenario de ataque basado en web, un atacante tendría que alojar un sitio web que contenga un archivo PE especialmente diseñado. Además, los sitios web comprometidos y los sitios web que aceptan o alojan contenido proporcionado por el usuario podrían contener contenido especialmente diseñado que podría usarse para explotar esta vulnerabilidad. Un atacante no tendría forma de obligar a los usuarios a visitar un sitio web que aloja el archivo PE especialmente diseñado. En su lugar, el atacante tendría que convencer a los usuarios de visitar el sitio web, generalmente haciendo que hagan clic en un enlace de un mensaje de correo electrónico o de mensajería instantánea que los dirija al sitio web del atacante.

Historial de actualizaciones

El 10 de diciembre de 2013, Microsoft publicó una actualización para todas las versiones compatibles de Microsoft Windows que cambia la forma en que se verifican las firmas de los binarios firmados con el formato de firma Windows Authenticode. Este cambio se puede habilitar de forma opcional. Cuando está habilitado, el nuevo comportamiento de verificación de firmas de Windows Authenticode ya no permitirá información superflua en la estructura WIN_CERTIFICATE, y Windows ya no reconocerá los binarios no conformes como firmados. El 29 de julio de 2014, Microsoft anunció que ya no planea imponer el comportamiento de verificación más estricto como funcionalidad predeterminada en las versiones compatibles de Microsoft Windows. Hasta la fecha, sigue disponible como característica opcional en todas las versiones actualmente compatibles de Microsoft Windows.

Recomendación. Microsoft recomienda que los autores de ejecutables consideren ajustar todos los binarios firmados al nuevo estándar de verificación asegurándose de que no contengan información superflua en la estructura WIN_CERTIFICATE. Microsoft también recomienda que los clientes prueben adecuadamente este cambio para evaluar cómo se comportará en sus entornos..."¹