CVE-2013-3900
Microsoft WinVerifyTrust function Remote Code Execution
Beschreibung
CVE-2013-3900 ist eine Schwachstelle in der Microsoft WinVerifyTrust-Funktion, die eine unsachgemäße Verifizierung kryptografischer Signaturen bei der Windows Authenticode-Signaturvalidierung für Portable Executable (PE)-Dateien ermöglicht. Ein Angreifer kann eine bereits signierte ausführbare Datei so modifizieren, dass schädlicher Code in nicht verifizierte Bereiche der Datei eingeschleust wird, ohne die bestehende digitale Signatur ungültig zu machen. Die erfolgreiche Ausnutzung dieser Schwachstelle kann zur vollständigen Übernahme des betroffenen Systems führen, einschließlich der Installation von Programmen, dem Ändern oder Löschen von Daten und dem Erstellen neuer Konten mit vollen Benutzerrechten. CISA hat CVE-2013-3900 in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 80,49 % (99,1. Perzentile) deutet auf eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows 10 20h2 | - |
| microsoft | windows 10 21h1 | - |
| microsoft | windows 10 21h2 | - |
| microsoft | windows 10 22h2 | - |
| microsoft | windows 11 21h2 | - |
| microsoft | windows 11 22h2 | - |
| microsoft | windows 11 23h2 | - |
| microsoft | windows 11 24h2 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
| microsoft | windows server 2022 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2013-3900(Patch, Vendor Advisory)
- http://blogs.technet.com/b/srd/archive/2013/12/10/ms13-098-update-to-enhance-the-security-of-authenticode.aspx(Broken Link)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2013/ms13-098(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-3900(US Government Resource)
Schwachstellentyp
CWE-347: Unsachgemäße Verifizierung kryptografischer Signaturen
Die unsachgemäße Verifizierung kryptografischer Signaturen in der WinVerifyTrust-Funktion ermöglicht es Angreifern, signierte PE-Dateien zu modifizieren, ohne die Authenticode-Signatur ungültig zu machen. Die Schwachstelle entsteht dadurch, dass bestimmte Bereiche einer signierten Datei nicht in die Signaturprüfung einbezogen werden, wodurch schädlicher Code in diese unverifizierten Bereiche eingefügt werden kann.
Weitere Informationen: CWE-347 — Unsachgemäße Verifizierung kryptografischer Signaturen
Auswirkungsanalyse
CVE-2013-3900 hat einen CVSS 3.1-Score von 5.5 (MEDIUM) gemäß Microsoft, wobei NVD einen alternativen Score von 8.8 (HIGH) angibt. Der Angriffsvektor ist lokal, was bedeutet, dass ein Angreifer den Benutzer dazu bringen muss, eine speziell präparierte signierte PE-Datei auszuführen oder zu installieren — eine Benutzerinteraktion ist daher erforderlich. Die Angriffskomplexität ist gering und es sind keine besonderen Berechtigungen erforderlich. Integrität (Hoch): Die erfolgreiche Ausnutzung ermöglicht es dem Angreifer, signierte Dateien unerkannt zu manipulieren, was das gesamte Vertrauensmodell der Windows Authenticode-Signaturvalidierung untergräbt. Ein Angreifer mit administrativen Rechten könnte die vollständige Kontrolle über das System erlangen, Programme installieren sowie Daten einsehen, ändern oder löschen. Besonders bemerkenswert ist, dass Microsoft die striktere Verifizierung nicht als Standard durchsetzt, sondern lediglich als Opt-in-Feature über einen Registry-Schlüssel (EnableCertPaddingCheck) bereitstellt, was viele Systeme weiterhin verwundbar lässt.
Exploit-Reifegrad
CVE-2013-3900 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Der EPSS-Score von 80,49 % (99,1. Perzentile) weist auf eine nahezu sichere Ausnutzungsaktivität hin. Obwohl die Schwachstelle bereits 2013 veröffentlicht wurde, hat Microsoft das Advisory mehrfach aktualisiert, da die Schwachstelle weiterhin aktiv ausgenutzt wird. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-07-10 gemäß der verbindlichen CISA-Direktive zu beheben. Die Tatsache, dass die striktere Signaturprüfung nur als Opt-in verfügbar ist, bedeutet, dass viele Systeme auch nach dem Patch weiterhin anfällig bleiben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Aktivieren Sie den Registry-Schlüssel EnableCertPaddingCheck, um die striktere Authenticode-Signaturverifizierung zu erzwingen.
- Setzen Sie den Registry-Wert
HKLM\Software\Microsoft\Cryptography\Wintrust\Config\EnableCertPaddingCheckauf1auf allen betroffenen Windows-Systemen (Windows 7, 8.1, 10, 11, Server 2008 bis 2022). Für 64-Bit-Systeme muss zusätzlichHKLM\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config\EnableCertPaddingCheckauf1gesetzt werden. - Implementieren Sie Application Whitelisting und Code-Signing-Richtlinien, die nur vertrauenswürdige, ordnungsgemäß signierte Anwendungen zur Ausführung zulassen. Nutzen Sie Windows Defender Application Control (WDAC) oder AppLocker.
- Überwachen Sie Systeme auf verdächtige PE-Dateien mit ungewöhnlichen Signatureigenschaften, insbesondere Dateien mit Daten nach dem Authenticode-Signaturbereich. Prüfen Sie Sicherheitsprotokolle auf Anzeichen einer Kompromittierung.
- Stärken Sie langfristig die kryptografische Signaturverifizierung durch Verwendung aktueller Signaturalgorithmen (RSA-2048+ oder ECDSA) und implementieren Sie regelmäßige Überprüfungen der Signaturintegrität für geschäftskritische Anwendungen.
Technische Details
CVE-2013-3900 betrifft die WinVerifyTrust-Funktion in Microsoft Windows, die für die Authenticode-Signaturverifizierung von Portable Executable (PE)-Dateien zuständig ist. Die Schwachstelle entsteht durch eine unzureichende Validierung der Dateistruktur: Ein Angreifer kann schädlichen Code in Bereiche einer signierten PE-Datei einfügen, die nicht von der Signaturprüfung abgedeckt werden, wodurch die Signatur trotz der Modifikation als gültig erkannt wird. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N) zeigt, dass der Angriff zwar lokal erfolgt und eine Benutzerinteraktion erfordert, aber keine besonderen Berechtigungen benötigt und die Integrität schwerwiegend beeinträchtigt. Microsoft hat sich bewusst dagegen entschieden, die striktere Verifizierung standardmäßig zu aktivieren, um Kompatibilitätsprobleme mit bestehender Software zu vermeiden — stattdessen muss die Absicherung manuell über den EnableCertPaddingCheck-Registry-Schlüssel aktiviert werden.
Häufig gestellte Fragen
Wird CVE-2013-3900 aktiv ausgenutzt?
Ja. CVE-2013-3900 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 80,49 % (99,1. Perzentile) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Microsoft hat das Advisory seit der Erstveröffentlichung 2013 mehrfach aktualisiert, da die Schwachstelle weiterhin aktiv missbraucht wird.
Welche Produkte sind von CVE-2013-3900 betroffen?
CVE-2013-3900 betrifft die WinVerifyTrust-Funktion in nahezu allen Microsoft Windows-Versionen. Konkret betroffen sind: Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (alle Versionen von 1507 bis 22H2), Windows 11 (21H2 bis 24H2), Windows Server 2008 (einschließlich R2), Windows Server 2012 (einschließlich R2), Windows Server 2016, Windows Server 2019 und Windows Server 2022.
Wie behebe ich CVE-2013-3900?
Aktivieren Sie den Registry-Schlüssel EnableCertPaddingCheck auf allen betroffenen Windows-Systemen, um die striktere Authenticode-Signaturverifizierung zu erzwingen. Für 32-Bit-Systeme setzen Sie den Wert unter HKLM\Software\Microsoft\Cryptography\Wintrust\Config, für 64-Bit-Systeme zusätzlich unter dem Wow6432Node-Pfad. Ergänzend sollten Application-Whitelisting-Richtlinien implementiert werden.
Wie schwerwiegend ist CVE-2013-3900?
CVE-2013-3900 hat einen CVSS 3.1-Score von 5.5 (MEDIUM) gemäß Microsoft, wobei NVD alternativ 8.8 (HIGH) vergibt. Die Schwachstelle untergräbt das Vertrauensmodell der Windows-Signaturvalidierung und ermöglicht das Einschleusen von Schadcode in signierte Dateien. Der EPSS-Score von 80,49 % in der 99,1. Perzentile unterstreicht die erhebliche Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.