Por que a Microsoft está republicando um CVE de 2013?

Estamos republicando o CVE-2013-3900 no Guia de Atualizações de Segurança para atualizar a tabela de Atualizações de Segurança e informar aos clientes que o EnableCertPaddingCheck está disponível em todas as versões atualmente suportadas do Windows 10 e Windows 11. Embora o formato seja diferente do CVE original publicado em 2013, as informações aqui permanecem inalteradas em relação ao texto original publicado em 10 de dezembro de 2013.

A Microsoft não planeja impor o comportamento de verificação mais rigoroso como funcionalidade padrão nas versões suportadas do Microsoft Windows. Este comportamento permanece disponível como um recurso opcional através da configuração de chave de registro, e está disponível nas edições suportadas do Windows lançadas desde 10 de dezembro de 2013. Isso inclui todas as versões atualmente suportadas do Windows 10 e Windows 11. O código de suporte para esta chave de registro foi incorporado no momento do lançamento do Windows 10 e Windows 11, portanto, nenhuma atualização de segurança é necessária; no entanto, a chave de registro deve ser configurada. Consulte a tabela de Atualizações de Segurança para a lista de software afetado.

Descrição da Vulnerabilidade

Existe uma vulnerabilidade de execução remota de código na forma como a função WinVerifyTrust lida com a verificação de assinatura Windows Authenticode para arquivos executáveis portáteis (PE). Um atacante anônimo poderia explorar a vulnerabilidade modificando um arquivo executável assinado existente para aproveitar partes não verificadas do arquivo de forma a adicionar código malicioso ao arquivo sem invalidar a assinatura. Um atacante que explorasse com sucesso esta vulnerabilidade poderia assumir o controle total de um sistema afetado. O atacante poderia então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.

Se um usuário estiver conectado com direitos de usuário administrativo, um atacante que explorasse com sucesso esta vulnerabilidade poderia assumir o controle total de um sistema afetado. O atacante poderia então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Usuários cujas contas estão configuradas com menos direitos de usuário no sistema podem ser menos impactados do que usuários que operam com direitos de usuário administrativo.

A exploração desta vulnerabilidade requer que um usuário ou aplicativo execute ou instale um arquivo PE assinado especialmente criado. Um atacante poderia modificar um arquivo assinado existente para incluir código malicioso sem invalidar a assinatura. Este código seria executado no contexto do privilégio com o qual o arquivo PE assinado foi iniciado.

Em um cenário de ataque por e-mail, um atacante poderia explorar esta vulnerabilidade enviando ao usuário uma mensagem de e-mail contendo o arquivo PE especialmente criado e convencendo o usuário a abrir o arquivo.

Em um cenário de ataque baseado na web, um atacante teria que hospedar um site que contenha um arquivo PE especialmente criado. Além disso, sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário podem conter conteúdo especialmente criado que poderia ser usado para explorar esta vulnerabilidade. Um atacante não teria como forçar os usuários a visitar um site que hospeda o arquivo PE especialmente criado. Em vez disso, um atacante teria que convencer os usuários a visitar o site, normalmente fazendo-os clicar em um link em uma mensagem de e-mail ou mensagem instantânea que os direciona ao site do atacante.

Histórico de Atualizações

Em 10 de dezembro de 2013, a Microsoft lançou uma atualização para todas as versões suportadas do Microsoft Windows que altera como as assinaturas são verificadas para binários assinados com o formato de assinatura Windows Authenticode. Esta alteração pode ser habilitada de forma opcional. Quando habilitada, o novo comportamento para verificação de assinatura Windows Authenticode não permitirá mais informações extras na estrutura WIN_CERTIFICATE, e o Windows não reconhecerá mais binários não conformes como assinados. Em 29 de julho de 2014, a Microsoft anunciou que não planeja mais impor o comportamento de verificação mais rigoroso como funcionalidade padrão nas versões suportadas do Microsoft Windows. Até a presente data, permanece disponível como um recurso opcional em todas as versões atualmente suportadas do Microsoft Windows.

Recomendação. A Microsoft recomenda que autores de executáveis considerem a conformidade de todos os binários assinados com o novo padrão de verificação, garantindo que não contenham informações extras na estrutura WIN_CERTIFICATE. A Microsoft também recomenda que os clientes testem adequadamente esta alteração para avaliar como ela se comportará em seus ambientes..."¹