CVE-2013-3900

KEV

Published: Dic 11, 2013 Last Modified: Ott 22, 2025

ExploitDB:

Other exploit source:

Google Dorks:

MEDIUM 5,5

Source: [email protected]

Attack Vector: local

Attack Complexity: low

Privileges Required: none

User Interaction: required

Scope: unchanged

Confidentiality: none

Integrity: high

Availability: none

HIGH 7,6

Source: [email protected]

Access Vector: network

Access Complexity: high

Authentication: none

Confidentiality: complete

Integrity: complete

Availability: complete

Description

AI Translation Available

Why is Microsoft republishing a CVE from 2013?
We are republishing CVE-2013-3900 in the Security Update Guide to update the Security Updates table and to inform customers that the EnableCertPaddingCheck is available in all currently supported versions of Windows 10 and Windows 11. While the format is different from the original CVE published in 2013, except for clarifications about how to configure the EnableCertPaddingCheck registry value, the information herein remains unchanged from the original text published on December 10, 2013,
Microsoft does not plan to enforce the stricter verification behavior as a default functionality on supported releases of Microsoft Windows. This behavior remains available as an opt-in feature via reg key setting, and is available on supported editions of Windows released since December 10, 2013. This includes all currently supported versions of Windows 10 and Windows 11. The supporting code for this reg key was incorporated at the time of release for Windows 10 and Windows 11, so no security update is required; however, the reg key must be set. See the Security Updates table for the list of affected software.
Vulnerability Description
A remote code execution vulnerability exists in the way that the WinVerifyTrust function handles Windows Authenticode signature verification for portable executable (PE) files. An anonymous attacker could exploit the vulnerability by modifying an existing signed executable file to leverage unverified portions of the file in such a way as to add malicious code to the file without invalidating the signature. An attacker who successfully exploited this vulnerability could take complete control of an affected system. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights.
If a user is logged on with administrative user rights, an attacker who successfully exploited this vulnerability could take complete control of an affected system. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights. Users whose accounts are configured to have fewer user rights on the system could be less impacted than users who operate with administrative user rights.
Exploitation of this vulnerability requires that a user or application run or install a specially crafted, signed PE file. An attacker could modify an... See more at https://msrc.microsoft.com/update-guide/vulnerability/CVE-2013-3900

AI Generated Translation

Perché Microsoft ripubblica un CVE del 2013?
Stiamo ripubblicando CVE-2013-3900 nella Security Update Guide per aggiornare la tabella degli Security Updates e per informare i clienti che EnableCertPaddingCheck è disponibile in tutte le versioni attualmente supportate di Windows 10 e Windows 11. Sebbene il formato sia diverso rispetto al CVE originale pubblicato nel 2013, ad eccezione delle chiarificazioni su come configurare il valore di registro EnableCertPaddingCheck, le informazioni contenute rimangono invariate rispetto al testo originale pubblicato il 10 dicembre 2013.
Microsoft non ha intenzione di applicare il comportamento di verifica più rigoroso come funzionalità predefinita nelle versioni supportate di Microsoft Windows. Questo comportamento rimane disponibile come funzionalità opzionale tramite impostazione del registro, ed è disponibile sulle edizioni supportate di Windows rilasciate dal 10 dicembre 2013. Ciò include tutte le versioni attualmente supportate di Windows 10 e Windows 11. Il codice di supporto per questa chiave di registro è stato integrato al momento del rilascio di Windows 10 e Windows 11, quindi non è necessario un aggiornamento di sicurezza; tuttavia, la chiave di registro deve essere impostata. Consultare la tabella degli Security Updates per l’elenco del software interessato.
Descrizione della Vulnerabilità
Esiste una vulnerabilità di esecuzione di codice remoto nel modo in cui la funzione WinVerifyTrust gestisce la verifica delle firme Windows Authenticode per i file eseguibili portatili (PE). Un attaccante anonimo potrebbe sfruttare la vulnerabilità modificando un file eseguibile firmato esistente per sfruttare le parti non verificate del file in modo da aggiungere codice dannoso senza invalidare la firma. Un attaccante che sfruttasse con successo questa vulnerabilità potrebbe prendere il controllo completo di un sistema interessato. Potrebbe quindi installare programmi; visualizzare, modificare o eliminare dati; o creare nuovi account con pieni diritti utente.
Se un utente è connesso con diritti amministrativi, un attaccante che sfruttasse con successo questa vulnerabilità potrebbe prendere il controllo completo di un sistema interessato. Potrebbe quindi installare programmi; visualizzare, modificare o eliminare dati; o creare nuovi account con pieni diritti utente. Gli utenti i cui account sono configurati con meno diritti utente sul sistema potrebbero essere meno colpiti rispetto a quelli con diritti amministrativi.
Lo sfruttamento di questa vulnerabilità richiede che un utente o un’applicazione esegua o installi un file PE firmato appositamente creato. Un attaccante potrebbe modificare un... Per ulteriori dettagli, consultare https://msrc.microsoft.com/update-guide/vulnerability/CVE-2013-3900

EPSS (Exploit Prediction Scoring System)

Trend Analysis

EPSS (Exploit Prediction Scoring System)

Prevede la probabilità di sfruttamento basata su intelligence sulle minacce e sulle caratteristiche della vulnerabilità.

EPSS Score

0,8023

Percentile

1,0th

Updated

EPSS Score Trend (Last 90 Days)

347

Improper Verification of Cryptographic Signature

Draft

Abstraction: Base Structure: Simple

Common Consequences

Security Scopes Affected:

Access Control Integrity Confidentiality

Potential Impacts:

Gain Privileges Or Assume Identity Modify Application Data Execute Unauthorized Code Or Commands

Applicable Platforms

All platforms may be affected

View CWE Details

Operating System

Windows Server 2016 by Microsoft

Product Information

Vendor Microsoft

Product Windows Server 2016

Version -

CPE Identifier

CVE-2013-3900

Description

EPSS (Exploit Prediction Scoring System)

EPSS (Exploit Prediction Scoring System)

EPSS Score Trend (Last 90 Days)

Improper Verification of Cryptographic Signature

Common Consequences

Applicable Platforms

Windows Server 2016 by Microsoft

Product Information

Windows 11 24H2 by Microsoft

Product Information

Windows 10 1607 by Microsoft

Product Information

Windows 11 21H2 by Microsoft

Product Information

Windows 10 21H2 by Microsoft

Product Information

Windows 10 1809 by Microsoft

Product Information

Windows 10 1809 by Microsoft

Product Information

Windows 10 1507 by Microsoft

Product Information

Windows 10 1607 by Microsoft

Product Information

Windows Server 2008 by Microsoft

Product Information

Windows 10 20H2 by Microsoft

Product Information

Windows 10 1809 by Microsoft

Product Information

Windows Server 2022 23H2 by Microsoft

Product Information

Windows Server 2022 by Microsoft

Product Information

Windows 11 23H2 by Microsoft

Product Information

Windows 10 1909 by Microsoft

Product Information

Windows Server 2012 by Microsoft

Product Information

Windows 10 22H2 by Microsoft

Product Information

Windows Server 2008 by Microsoft

Product Information

Windows 11 23H2 by Microsoft

Product Information

Windows 11 24H2 by Microsoft

Product Information

Windows 10 21H1 by Microsoft

Product Information

Windows 11 22H2 by Microsoft

Product Information

Windows Server 2025 by Microsoft

Product Information

Windows 7 by Microsoft

Product Information

Windows Rt 8.1 by Microsoft

Product Information

Windows 11 22H2 by Microsoft

Product Information

Windows Server 2012 by Microsoft

Product Information

Windows Server 2019 by Microsoft

Product Information

Windows 8.1 by Microsoft

Product Information

Windows 11 21H2 by Microsoft

Product Information

Iscriviti alla newsletter