Pourquoi Microsoft republie-t-il un CVE de 2013 ?

Nous republions CVE-2013-3900 dans le Guide de mise à jour de sécurité pour mettre à jour le tableau des mises à jour de sécurité et informer les clients que EnableCertPaddingCheck est disponible dans toutes les versions actuellement prises en charge de Windows 10 et Windows 11. Bien que le format soit différent du CVE original publié en 2013, les informations contenues dans le présent document restent inchangées par rapport au texte original publié le 10 décembre 2013.

Microsoft n'a pas l'intention d'appliquer le comportement de vérification plus strict comme fonctionnalité par défaut sur les versions prises en charge de Microsoft Windows. Ce comportement reste disponible en tant que fonctionnalité optionnelle via un paramètre de clé de registre, et est disponible sur les éditions prises en charge de Windows publiées depuis le 10 décembre 2013. Cela inclut toutes les versions actuellement prises en charge de Windows 10 et Windows 11. Le code de support pour cette clé de registre a été intégré au moment de la sortie de Windows 10 et Windows 11, donc aucune mise à jour de sécurité n'est nécessaire ; cependant, la clé de registre doit être définie. Voir le tableau des mises à jour de sécurité pour la liste des logiciels concernés.

Description de la vulnérabilité

Une vulnérabilité d'exécution de code à distance existe dans la manière dont la fonction WinVerifyTrust gère la vérification de signature Windows Authenticode pour les fichiers exécutables portables (PE). Un attaquant anonyme pourrait exploiter la vulnérabilité en modifiant un fichier exécutable signé existant pour tirer parti de parties non vérifiées du fichier de manière à ajouter du code malveillant au fichier sans invalider la signature. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle total d'un système affecté. L'attaquant pourrait alors installer des programmes ; afficher, modifier ou supprimer des données ; ou créer de nouveaux comptes avec tous les droits d'utilisateur.

Si un utilisateur est connecté avec des droits d'utilisateur administrateur, un attaquant qui exploite avec succès cette vulnérabilité pourrait prendre le contrôle total du système affecté. L'attaquant pourrait alors installer des programmes ; afficher, modifier ou supprimer des données ; ou créer de nouveaux comptes avec tous les droits d'utilisateur. Les utilisateurs dont les comptes sont configurés avec moins de droits d'utilisateur sur le système pourraient être moins impactés que les utilisateurs disposant de droits d'utilisateur administrateur.

L'exploitation de cette vulnérabilité nécessite qu'un utilisateur ou une application exécute ou installe un fichier PE signé spécialement conçu. Un attaquant pourrait modifier un fichier signé existant pour inclure du code malveillant sans invalider la signature. Ce code s'exécuterait dans le contexte du privilège avec lequel le fichier PE signé a été lancé.

Dans un scénario d'attaque par courrier électronique, un attaquant pourrait exploiter cette vulnérabilité en envoyant à un utilisateur un message électronique contenant le fichier PE spécialement conçu et en convainquant l'utilisateur d'ouvrir le fichier.

Dans un scénario d'attaque basé sur le Web, un attaquant devrait héberger un site Web contenant un fichier PE spécialement conçu. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent du contenu fourni par l'utilisateur pourraient contenir du contenu spécialement conçu qui pourrait être utilisé pour exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen de forcer les utilisateurs à visiter un site Web hébergeant le fichier PE spécialement conçu. Au lieu de cela, l'attaquant devrait convaincre les utilisateurs de visiter le site Web, généralement en les incitant à cliquer sur un lien dans un message électronique ou un message instantané qui les dirige vers le site Web de l'attaquant.

Historique des mises à jour

Le 10 décembre 2013, Microsoft a publié une mise à jour pour toutes les versions prises en charge de Microsoft Windows qui modifie la façon dont les signatures sont vérifiées pour les fichiers binaires signés avec le format de signature Windows Authenticode. Cette modification peut être activée sur une base optionnelle. Lorsqu'elle est activée, le nouveau comportement de vérification de signature Windows Authenticode n'autorisera plus les informations superflues dans la structure WIN_CERTIFICATE, et Windows ne reconnaîtra plus les fichiers binaires non conformes comme étant signés. Le 29 juillet 2014, Microsoft a annoncé qu'il n'avait plus l'intention d'appliquer le comportement de vérification plus strict comme fonctionnalité par défaut sur les versions prises en charge de Microsoft Windows. À ce jour, il reste disponible en tant que fonctionnalité optionnelle dans toutes les versions actuellement prises en charge de Microsoft Windows.

Recommandation. Microsoft recommande aux auteurs d'exécutables d'envisager de conformer tous les fichiers binaires signés à la nouvelle norme de vérification en veillant à ce qu'ils ne contiennent aucune information superflue dans la structure WIN_CERTIFICATE. Microsoft recommande également aux clients de tester correctement cette modification pour évaluer comment elle se comportera dans leurs environnements..."¹