CVE-2013-3900 Mitigation (WinVerifyTrust / EnableCertPaddingCheck)

Этот репозиторий содержит скрипт PowerShell для исправления и проверки, который закрывает уязвимость, обнаруженную Tenable/Nessus:

• ID плагина: 166555
• Название: WinVerifyTrust Signature Validation CVE-2013-3900 Mitigation (EnableCertPaddingCheck)

Скрипт принудительно включает проверку отступов сертификата WinVerifyTrust, устанавливая:

• EnableCertPaddingCheck (DWORD) = 1

На 64-битных системах сканеры требуют, чтобы значение было задано как в собственном пути реестра, так и в пути реестра Wow6432Node (32-битное представление).

Почему это важно

CVE-2013-3900 связана с тем, как Windows проверяет подписи Authenticode с помощью WinVerifyTrust.
Если проверка отступов сертификата не включена, некоторые специально сформированные подписи могут быть признаны действительными в небезопасных сценариях, и сканеры уязвимостей пометят хост как несоответствующий требованиям.

Подробности плагина Tenable

Среда

• Целевая система: Windows 11 VM (x64)
• Версия PowerShell: 5.1
• Тип сканирования: Tenable / Nessus
• Требуемые привилегии: Администратор

Что делает скрипт

✅ Проверяет, что запущен от имени Администратора
✅ Определяет, является ли ОС 64-битной
✅ Создает необходимые ветки реестра, если они отсутствуют
✅ Устанавливает EnableCertPaddingCheck в:

• 1, когда $secureEnvironment = $true (безопасный / рекомендуемый)
• 0, когда $secureEnvironment = $false (небезопасный / лабораторное тестирование)

✅ Выводит четкую таблицу До/После и результат проверки соответствия

Расположение скрипта:

scripts/Set-WinVerifyTrustCertPadding.ps1

Используемые пути реестра

Скрипт применяет настройку к:

• HKLM:\Software\Microsoft\Cryptography\Wintrust\Config
• HKLM:\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config (64-битная ОС)

Устанавливаемое значение:

• EnableCertPaddingCheck (DWORD)

Использование

1. Откройте PowerShell от имени Администратора
2. (Необязательно) Измените переключатель внутри скрипта:
   • $secureEnvironment = $true → включить смягчение (рекомендуется)
   • $secureEnvironment = $false → отключить смягчение (только лабораторное тестирование)
3. Запустите:

.\scripts\Set-WinVerifyTrustCertPadding.ps1

Техническая проверка

Скрипт проверяет конфигурацию, выполняя:

• чтение обоих путей реестра
• сравнение текущего значения с требуемым
• вывод таблицы соответствия (До → После)
• возврат кода выхода 0 в случае успеха

Свидетельства (До и После)

До устранения уязвимости (Сканирование 5)

Обнаружена уязвимость высокой степени серьезности (Плагин 166555 – CVE-2013-3900).
Всего обнаружений: 5

После устранения уязвимости (Сканирование 6)

Уязвимость высокой степени серьезности устранена.
Количество обнаружений уменьшено: 5 → 4

Результат

• Устранена уязвимость высокой степени серьезности CVE-2013-3900
• Снижено общее количество уязвимостей
• Автоматизированное исправление с логикой проверки
• Полная совместимость с Windows PowerShell 5.1

Примечания

• Перезагрузка, как правило, не требуется.
• Если сканер по-прежнему сообщает об уязвимости, убедитесь, что используется сканирование с учетными данными, и выполните повторное сканирование после перезагрузки.