CVE-2025-6218-WinRAR-Directory-Traversal-RCE

CVE-2025-6218 هي ثغرة اجتياز دليل (Directory Traversal) في برنامج WinRAR تتيح للمهاجم وضع الملفات خارج مجلد الاستخراج المقصود عندما يقوم المستخدم باستخراج أرشيف .rar مصمم خصيصًا. من خلال استغلال هذا الخلل، يمكن للمهاجم إسقاط ملفات ضارة في مواقع حساسة، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE) إذا تم تنفيذ الملف بواسطة النظام أو المستخدم.

Poc

الإصدارات المتأثرة

• إصدارات WinRAR ≤ 7.11 معرضة للخطر.
• الإصدارات ≥ 7.12 Beta 1 تتضمن تصحيحًا لمعالجة هذه المشكلة.
• تأكد دائمًا من إصدار WinRAR المثبت (عبر WinRAR.exe --version).

لماذا تعتبر ثغرات اجتياز الدليل خطيرة

ثغرات اجتياز الدليل تسمح للمهاجمين بالتلاعب بمسارات الملفات لكتابة ملفات في مواقع غير مقصودة. في سياق WinRAR، يعني هذا أن ملفًا من المفترض استخراجه إلى C:\Temp يمكن بدلاً من ذلك وضعه في دليل حساس مثل مجلد بدء التشغيل في Windows (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). إذا تم وضع ملف تنفيذي ضار أو سكريبت في مثل هذا الموقع، فقد يتم تشغيله تلقائيًا، مما يمنح المهاجم السيطرة على نظام الضحية.

التأثير في العالم الحقيقي

يمكن للمهاجم:

• إسقاط سكريبت ضار (مثل ملف .bat) في مجلد بدء التشغيل لتنفيذ تعليمات برمجية عند تشغيل النظام.
• استبدال ملفات نظام حساسة في أدلة مثل C:\Windows\System32 لتعطيل وظائف النظام أو تصعيد الامتيازات.
• تسليم حمولات مثل برامج الفدية أو برامج التجسس أو الباب الخلفي دون علم المستخدم.
• الجمع بين هذا وهندسة اجتماعية (مثل خداع المستخدم لاستخراج أرشيف ضار) لتحقيق RCE.

2. شرح السبب الجذري

كيف يفشل WinRAR في تنقية مسارات الملفات

ينشأ الثغرة من فشل WinRAR في التحقق بشكل صحيح وتنقية مسارات الملفات المخزنة داخل أرشيف .rar. عند استخراج الملفات، يثق WinRAR في بيانات مسار الملف في الأرشيف دون التحقق بشكل كافٍ من وجود تسلسلات اجتياز المسار مثل ..\ أو ../../. يتيح ذلك للمهاجم إنشاء أرشيف حيث يشير مسار ملف إلى خارج مجلد الاستخراج المقصود.

كيف تخدع تسلسلات ..\..\..\ عملية الاستخراج

• أساسيات اجتياز المسار: التسلسل ..\ في مسار ملف يوجه النظام للانتقال إلى مستوى دليل أعلى. من خلال ربط عدة تسلسلات ..\ (مثل ..\..\..\..\..)، يمكن للمهاجم التنقل من مجلد الاستخراج (مثل C:\Temp\Test) إلى جذر القرص (C:\) ثم إلى أي موقع مرغوب، مثل C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• خلل WinRAR: الإصدارات المعرضة للخطر من WinRAR (≤ 7.11) لا تحظر أو تنقي هذه التسلسلات، مما يسمح لعملية الاستخراج بوضع الملفات في مواقع عشوائية نسبة إلى نقطة الاستخراج.

لماذا يمكن أن تنتهي الملفات في مواقع حساسة

• مجلد بدء التشغيل: الملفات الموضوعة في C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup يتم تنفيذها تلقائيًا عند تسجيل دخول المستخدم. يمكن لملف .bat أو .exe ضار هنا تشغيل أوامر عشوائية.
• System32 أو أدلة حساسة أخرى: استبدال أو إضافة ملفات في C:\Windows\System32 يمكن أن يعرض سلامة النظام للخطر أو يمكّن من تصعيد الامتيازات.
• لا حاجة لتفاعل المستخدم: إذا تم وضع الملف في موقع تنفيذ تلقائي مثل مجلد بدء التشغيل، تعمل الحمولة دون أي إجراء إضافي من المستخدم بعد الاستخراج.

رسم بياني: مسارات الاستخراج المقصودة مقابل الفعلية

الاستخراج المقصود (آمن):
- يستخرج المستخدم الأرشيف إلى: C:\Temp\Test
- الأرشيف يحتوي على ملف: payload.bat
- النتيجة المتوقعة: C:\Temp\Test\payload.bat

الاستخراج الفعلي (مستغل):
- يستخرج المستخدم الأرشيف إلى: C:\Temp\Test
- الأرشيف يحتوي على ملف بمسار: ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- النتيجة الفعلية: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

3. دليل الاستغلال اليدوي

يقدم هذا القسم تعليمات خطوة بخطوة لإعادة إنتاج ثغرة CVE-2025-6218 يدويًا في بيئة مختبرية آمنة ومعزولة باستخدام جهاز افتراضي (VM) بدون اتصال شبكي. الهدف هو إنشاء أرشيف .rar يضع ملف .bat غير ضار في مجلد بدء التشغيل في Windows، والذي يقوم بتشغيل الآلة الحاسبة (calc.exe) عند تسجيل دخول المستخدم.

المتطلبات الأساسية

• جهاز افتراضي يعمل بنظام Windows 10 مع تثبيت WinRAR إصدار ≤ 7.11.
• WinRAR مثبت على جهاز المضيف (≤ 7.11) لإنشاء الأرشيف.
• محرر نصوص (مثل Notepad) لإنشاء الحمولة.
• لا يوجد اتصال شبكي على الجهاز الافتراضي لضمان السلامة.

التعليمات خطوة بخطوة

1. تحضير مجلد اختبار:

   • على جهاز المضيف، أنشئ مجلدًا باسم exploit_test (مثل C:\exploit_test).
   • سيحمل هذا المجلد الحمولة وهيكل المجلدات للأرشيف.

2. إنشاء حمولة بسيطة:

   • افتح Notepad وأنشئ ملفًا جديدًا بالمحتوى التالي:
     root@kitploit:~

     @echo off
     start calc.exe
     

   • احفظ الملف باسم payload.bat في C:\exploit_test.
   • هذا الملف الدفعي غير ضار وسيفتح الآلة الحاسبة في Windows عند تنفيذه.

3. إنشاء هيكل المجلدات لاجتياز المسار:

   • داخل C:\exploit_test، أنشئ هيكل مجلدات يعكس المسار المطلوب:
     root@kitploit:~

     C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

     استبدل <username> باسم المستخدم المستهدف على الجهاز الافتراضي (مثل absholi7ly).
   • انقل payload.bat إلى مجلد :

4. التحقق

التحقق من وجود الحمولة المسقطة

• افتح Windows Explorer في الجهاز الافتراضي.
• انتقل إلى:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• ابحث عن payload.bat. إذا كان موجودًا، فإن استغلال اجتياز الدليل نجح.
• افتح payload.bat في Notepad للتحقق من محتوياته:
  root@kitploit:~

  @echo off
  start calc.exe
  

تأكيد مسار الملف

• انقر بزر الماوس الأيمن على payload.bat في مجلد بدء التشغيل واختر Properties.
• تحقق من حقل Location للتأكد من أنه يطابق:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• إذا كان الملف في مكان آخر (مثل C:\payload.bat أو مجلد فرعي مثل C:\Users\username\AppData\Roaming\...)، فإن الاستغلال لم يعمل كما هو مقصود.

تأكيد تنفيذ الحمولة

• قم بتسجيل الخروج ثم تسجيل الدخول مرة أخرى إلى الجهاز الافتراضي كمستخدم username.
• بدلاً من ذلك، أعد تشغيل الجهاز الافتراضي.
• لاحظ ما إذا كانت الآلة الحاسبة تفتح تلقائيًا.
• إذا لم تفتح، انقر نقرًا مزدوجًا يدويًا على payload.bat في مجلد بدء التشغيل للتحقق من أنه يعمل.

5. ذكر الأتمتة الاختيارية

للباحثين الذين يرغبون في تبسيط العملية، يمكن أتمتة الخطوات اليدوية الموصوفة أعلاه باستخدام سكريبت Python.