WinVerifyTrust 署名検証の脆弱性、CVE-2013-39001、QID-3783322 を修正します
この修正は64ビット版 Windows コンピュータを対象としています
このPowerShellコードは、この脆弱性を修正する方法の1つです。別の方法としては、.regファイルを作成して reg import <file.reg> を使用し、新しいレジストリキーをインポートする方法があります。
完全パッケージ版スクリプト:
HKLM:\Software\Microsoft\Cryptography\Wintrust\Config が見つからない場合は、パスとキーを作成します。
キーが見つかった場合は、キーの結果を表示します - 何も行いません。など。
新しいレジストリキーは、タイプ: REG_SZ であることが想定されています。
"新しい検証動作は、既にインストールされているソフトウェアに影響しますか?
新しい、より厳格な検証動作は、有効にすると、主に Windows Authenticode 署名形式で署名されたポータブル実行可能(PE)バイナリに適用されます。この形式で署名されていないバイナリ、または署名の検証に WinVerifyTrust を使用しないバイナリは、新しい動作の影響を受けません。影響を受ける可能性が最も高いバイナリは、インターネット経由で配布され、ダウンロード時にカスタマイズされる PEインストーラファイルです。ユーザーが影響を認識する可能性がある最も一般的なシナリオは、新しいアプリケーションのダウンロードおよびインストール中です。これは、お客様がより厳格な検証動作を有効にすることを選択した場合にのみ当てはまります。有効にした場合、ユーザーは、検証に失敗する署名を持つ新しいアプリケーションをインストールしようとすると、警告メッセージが表示されることがあります。
なぜ Microsoft は2013年の CVE を再公開するのですか?
Microsoft は、Security Update Guide で CVE-2013-3900 を再公開し、Security Updates の表を更新するとともに、EnableCertPaddingCheck が現在サポートされているすべてのバージョンの Windows 10 および Windows 11 で利用可能であることをお客様にお知らせします。2013年に公開された元の CVE とは形式が異なりますが、ここに記載されている情報は、2013年12月10日に公開された元のテキストから変更されていません。
Microsoft は、サポートされている Microsoft Windows のリリースにおいて、より厳格な検証動作をデフォルト機能として強制する予定はありません。この動作は、レジストリキー設定によるオプトイン機能として引き続き利用可能であり、2013年12月10日以降にリリースされたサポート対象の Windows エディションで利用できます。これには、現在サポートされているすべてのバージョンの Windows 10 および Windows 11 が含まれます。このレジストリキーのサポートコードは、Windows 10 および Windows 11 のリリース時に組み込まれているため、セキュリティ更新プログラムは必要ありません。ただし、レジストリキーを設定する必要があります。影響を受けるソフトウェアの一覧については、Security Updates の表を参照してください。
脆弱性の説明
ポータブル実行可能(PE)ファイルに対する Windows Authenticode 署名の検証を WinVerifyTrust 関数が処理する方法に、リモートでコードが実行される脆弱性が存在します。匿名の攻撃者は、署名を無効にすることなくファイルに悪意のあるコードを追加できるように、既存の署名付き実行可能ファイルを変更してファイルの未検証部分を悪用することにより、この脆弱性を悪用する可能性があります。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステムを完全に制御できる可能性があります。攻撃者はその後、プログラムをインストールしたり、データを表示、変更、削除したり、完全なユーザー権限で新しいアカウントを作成したりできる可能性があります。
ユーザーが管理者ユーザー権限でログオンしている場合、この脆弱性の悪用に成功した攻撃者は、影響を受けるシステムを完全に制御できる可能性があります。攻撃者はその後、プログラムをインストールしたり、データを表示、変更、削除したり、完全なユーザー権限で新しいアカウントを作成したりできる可能性があります。システム上でより少ないユーザー権限を持つように構成されたアカウントのユーザーは、管理者ユーザー権限で操作するユーザーよりも影響が少ない可能性があります。
この脆弱性を悪用するには、ユーザーまたはアプリケーションが特別に細工された署名付き PEファイルを実行またはインストールする必要があります。攻撃者は、署名を無効にすることなく、既存の署名付きファイルを変更して悪意のあるコードを含める可能性があります。このコードは、署名付き PEファイルが起動されたときの権限のコンテキストで実行されます。
電子メール攻撃のシナリオでは、攻撃者は、特別に細工された PEファイルを含む電子メールメッセージをユーザーに送信し、ユーザーにファイルを開くよう説得することで、この脆弱性を悪用する可能性があります。
Webベースの攻撃シナリオでは、攻撃者は特別に細工された PEファイルを含む Webサイトをホストする必要があります。さらに、侵害された Webサイトや、ユーザーが提供したコンテンツを受け入れたりホストしたりする Webサイトには、この脆弱性を悪用するために使用される可能性のある特別に細工されたコンテンツが含まれている可能性があります。攻撃者は、特別に細工された PEファイルをホストしている Webサイトをユーザーに訪問させる方法はありません。その代わりに、攻撃者はユーザーに Webサイトを訪問するよう説得する必要があります。通常は、電子メールメッセージまたはインスタントメッセンジャーメッセージ内のリンクをクリックさせて、攻撃者の Webサイトに誘導します。
更新履歴
2013年12月10日、Microsoft は、Windows Authenticode 署名形式で署名されたバイナリの署名の検証方法を変更する更新プログラムを、サポートされているすべての Microsoft Windows リリース向けにリリースしました。この変更は、オプトイン方式で有効にできます。有効にすると、Windows Authenticode 署名検証の新しい動作では、WIN_CERTIFICATE 構造内の余分な情報が許可されなくなり、Windows は非準拠のバイナリを署名付きとして認識しなくなります。2014年7月29日、Microsoft は、サポートされている Microsoft Windows リリースにおいて、より厳格な検証動作をデフォルト機能として強制する予定がないことを発表しました。現在に至るまで、これは、現在サポートされているすべての Microsoft Windows リリースでオプトイン機能として利用可能です。
推奨事項。 Microsoft は、実行可能ファイルの作成者に対し、WIN_CERTIFICATE 構造内に余分な情報が含まれないようにして、すべての署名付きバイナリを新しい検証標準に準拠させることを検討するよう推奨します。Microsoft はまた、お客様がこの変更を適切にテストして、各自の環境でどのように動作するかを評価することを推奨します..."1
MSRC.Microsoft - WinVerifyTrust 署名検証の脆弱性 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2013-3900 ↩ ↩2
Microsoft WinVerifyTrust 署名検証の脆弱性 (CVE-2013-3900) に関する Qualys カバレッジの最近の変更 https://notifications.qualys.com/product/2023/04/07/recent-changes-in-qualys-coverage-for-microsoft-winverifytrust-signature-validation-vulnerability-cve-2013-3900 ↩
