Mitigação CVE-2013-3900 (WinVerifyTrust / EnableCertPaddingCheck)

Este repositório contém um script de remediação + verificação em PowerShell que aborda o achado do Tenable/Nessus:

• ID do Plugin: 166555
• Nome: Mitigação da Validação de Assinatura WinVerifyTrust CVE-2013-3900 (EnableCertPaddingCheck)

O script aplica a verificação de preenchimento de certificado WinVerifyTrust definindo:

• EnableCertPaddingCheck (DWORD) = 1

Em sistemas de 64 bits, os scanners exigem que o valor seja definido tanto no caminho de registro nativo quanto no caminho de registro Wow6432Node (visão de 32 bits).

Por que isso é importante

CVE-2013-3900 está relacionado a como o Windows valida assinaturas Authenticode usando WinVerifyTrust.
Se as verificações de preenchimento de certificado não forem aplicadas, certas assinaturas falsificadas podem ser tratadas como válidas em cenários inseguros, e os scanners de vulnerabilidade sinalizarão o host como não conforme.

Tenable Plugin Details

Ambiente

• Alvo: VM Windows 11 (x64)
• Versão do PowerShell: 5.1
• Tipo de Scan: Tenable / Nessus
• Privilégios Necessários: Administrador

O que o script faz

✅ Garante que seja executado como Administrador
✅ Detecta se o SO é 64 bits
✅ Garante que as chaves de registro necessárias existam
✅ Define EnableCertPaddingCheck para:

• 1 quando $secureEnvironment = $true (seguro / recomendado)
• 0 quando $secureEnvironment = $false (inseguro / laboratório/teste)

✅ Exibe uma tabela clara Antes/Depois e o resultado de conformidade

Localização do script:

scripts/Set-WinVerifyTrustCertPadding.ps1

Caminhos de registro usados

O script aplica a configuração a:

• HKLM:\Software\Microsoft\Cryptography\Wintrust\Config
• HKLM:\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config (SO de 64 bits)

Valor aplicado:

• EnableCertPaddingCheck (DWORD)

Uso

1. Abra o PowerShell como Administrador
2. (Opcional) Edite a opção dentro do script:
   • $secureEnvironment = $true → aplicar mitigação (recomendado)
   • $secureEnvironment = $false → desabilitar mitigação (apenas laboratório/teste)
3. Execute:

.\scripts\Set-WinVerifyTrustCertPadding.ps1

Validação Técnica

O script verifica a configuração ao:

• Ler ambos os caminhos de registro
• Comparar o valor atual com o valor desejado
• Exibir uma tabela de conformidade (Antes → Depois)
• Retornar código de saída 0 em caso de sucesso

Evidências (Antes vs Depois)

Antes da Remediação (Scan 5)

Achado de alta severidade presente (Plugin 166555 – CVE-2013-3900).
Total de achados: 5

Depois da Remediação (Scan 6)

Achado de alta severidade removido.
Total de achados reduzido: 5 → 4

Resultado

• Removido o achado de alta severidade CVE-2013-3900
• Reduzido o número total de vulnerabilidades
• Remediação automatizada com lógica de verificação
• Totalmente compatível com Windows PowerShell 5.1

Notas

• Reinicialização geralmente não é necessária.
• Se o scanner ainda relatar o achado, certifique-se de que um scan com credenciais seja usado e faça o rescan após a reinicialização.