CVE-2025-6218-WinRAR-Directory-Traversal-RCE

CVE-2025-6218 ist eine Directory-Traversal-Schwachstelle in WinRAR, die es einem Angreifer ermöglicht, Dateien außerhalb des vorgesehenen Extraktionsverzeichnisses abzulegen, wenn ein Benutzer ein speziell präpariertes .rar-Archiv extrahiert. Durch die Ausnutzung dieses Fehlers kann ein Angreifer schädliche Dateien an sensiblen Orten ablegen, was möglicherweise zu Remote Code Execution (RCE) führt, wenn die Datei vom System oder Benutzer ausgeführt wird.

---

PoC

---

Betroffene Versionen

• WinRAR-Versionen ≤ 7.11 sind verwundbar.
• Versionen ≥ 7.12 Beta 1 enthalten einen Patch, der dieses Problem entschärft.
• Überprüfen Sie immer die installierte WinRAR-Version (über WinRAR.exe --version) .

Warum Directory-Traversal-Schwachstellen gefährlich sind

Directory-Traversal-Schwachstellen ermöglichen es Angreifern, Dateipfade zu manipulieren, um Dateien an unbeabsichtigte Orte zu schreiben. Im Kontext von WinRAR bedeutet dies, dass eine Datei, die nach C:\Temp extrahiert werden soll, stattdessen in einem sensiblen Verzeichnis wie dem Windows-Autostart-Ordner (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup) abgelegt werden könnte. Wenn eine schädliche ausführbare Datei oder ein Skript an einem solchen Ort platziert wird, könnte sie bzw. es automatisch ausgeführt werden und dem Angreifer die Kontrolle über das System des Opfers verschaffen.

Auswirkungen in der Praxis

Ein Angreifer kann:

• Ein schädliches Skript (z. B. eine .bat-Datei) im Autostart-Ordner ablegen, um beim Systemstart Code auszuführen.
• Kritische Systemdateien in Verzeichnissen wie C:\Windows\System32 überschreiben, um die Systemfunktionalität zu beeinträchtigen oder Privilegien zu erweitern.
• Nutzlasten wie Ransomware, Spyware oder Backdoors ohne Wissen des Benutzers ausliefern.
• Dies mit Social Engineering kombinieren (z. B. indem ein Benutzer dazu gebracht wird, ein bösartiges Archiv zu extrahieren), um RCE zu erreichen.

---

2. Erklärung der Grundursache

Warum WinRAR Dateipfade nicht ordnungsgemäß bereinigt

Die Schwachstelle beruht darauf, dass WinRAR die in einem .rar-Archiv gespeicherten Dateipfade nicht ordnungsgemäß validiert und bereinigt. Beim Extrahieren von Dateien vertraut WinRAR den Dateipfad-Metadaten im Archiv, ohne ausreichend auf Pfad-Traversal-Sequenzen wie ..\ oder ../../ zu prüfen. Dadurch kann ein Angreifer ein Archiv erstellen, bei dem der Pfad einer Datei außerhalb des vorgesehenen Extraktionsverzeichnisses liegt.

Wie ..\..\..\-Sequenzen den Extraktionsprozess austricksen

• Grundlagen des Pfad-Traversals: Die Sequenz ..\ in einem Dateipfad weist das System an, eine Verzeichnisebene nach oben zu wechseln. Durch das Verketten mehrerer ..\-Sequenzen (z. B. ..\..\..\..\..) kann ein Angreifer vom Extraktionsverzeichnis (z. B. C:\Temp\Test) zum Stammverzeichnis des Laufwerks (C:\) und dann zu einem beliebigen Zielort navigieren, z. B. zu C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• Der Fehler in WinRAR: Verwundbare Versionen von WinRAR (≤ 7.11) blockieren oder bereinigen diese Sequenzen nicht, sodass der Extraktionsprozess Dateien an beliebigen Orten relativ zum Extraktionspunkt ablegen kann.

Warum Dateien an sensiblen Orten landen können

• Autostart-Ordner: Dateien, die in C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup abgelegt werden, werden beim Anmelden des Benutzers automatisch ausgeführt. Eine schädliche .bat- oder .exe-Datei kann hier beliebige Befehle ausführen.
• System32 oder andere sensible Verzeichnisse: Das Überschreiben oder Hinzufügen von Dateien in C:\Windows\System32 kann die Systemintegrität gefährden oder eine Privilegienausweitung ermöglichen.
• Keine Benutzerinteraktion erforderlich: Wird die Datei an einem automatisch ausgeführten Ort wie dem Autostart-Ordner abgelegt, wird die Nutzlast nach der Extraktion ohne weitere Benutzeraktion ausgeführt.

Visuelles Diagramm: Beabsichtigte vs. tatsächliche Extraktionspfade

Intended Extraction (Safe):
- User extracts archive to: C:\Temp\Test
- Archive contains file: payload.bat
- Expected result: C:\Temp\Test\payload.bat

Actual Extraction (Exploited):
- User extracts archive to: C:\Temp\Test
- Archive contains file with path: ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- Actual result: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

---

3. Manuelle Ausnutzungsanleitung

Dieser Abschnitt enthält Schritt-für-Schritt-Anleitungen, um die Schwachstelle CVE-2025-6218 in einer sicheren, isolierten Laborumgebung manuell zu reproduzieren, mithilfe einer virtuellen Maschine (VM) ohne Netzwerkverbindung. Das Ziel ist es, ein .rar-Archiv zu erstellen, das eine harmlose .bat-Datei im Windows-Autostart-Ordner platziert, die beim Anmelden des Benutzers den Taschenrechner (calc.exe) startet.

Voraussetzungen

• Eine virtuelle Maschine mit Windows 10 und installiertem WinRAR in Version ≤ 7.11.
• WinRAR (≤ 7.11) auf Ihrem Hostsystem installiert, um das Archiv zu erstellen.
• Einen Texteditor (z. B. Editor/Notepad), um die Nutzlast zu erstellen.
• Keine Netzwerkverbindung auf der VM, um die Sicherheit zu gewährleisten.

Schritt-für-Schritt-Anleitung

1. Einen Testordner vorbereiten:

   • Erstellen Sie auf Ihrem Hostsystem einen Ordner namens exploit_test (z. B. C:\exploit_test).
   • Dieser Ordner enthält die Nutzlast und die Ordnerstruktur für das Archiv.

2. Eine einfache Nutzlast erstellen:

   • Öffnen Sie den Editor (Notepad) und erstellen Sie eine neue Datei mit folgendem Inhalt:

     @echo off
     start calc.exe
     

   • Speichern Sie die Datei als payload.bat in C:\exploit_test.
   • Diese Batch-Datei ist harmlos und öffnet bei Ausführung den Windows-Rechner.

3. Die Ordnerstruktur für das Pfad-Traversal erstellen:

   • Erstellen Sie innerhalb von C:\exploit_test eine Ordnerstruktur, die den gewünschten Pfad abbildet:

     C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

     Ersetzen Sie <username> durch den Namen des Zielbenutzers auf der VM (z. B. absholi7ly).
   • Verschieben Sie payload.bat in den Ordner Startup:

     C:\exploit_test\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
     

4. Das bösartige RAR-Archiv mit WinRAR erstellen:

   • Öffnen Sie WinRAR (Version ≤ 7.11) auf Ihrem Hostsystem.
   • Navigieren Sie zu C:\exploit_test.
   • Wählen Sie den Ordner Users (der den vollständigen Pfad zu payload.bat enthält).
   • Klicken Sie mit der rechten Maustaste und wählen Sie Zum Archiv hinzufügen....
   • Im WinRAR-Dialog:
     • Legen Sie den Archivnamen auf exploit.rar fest (z. B. C:\exploit_test\exploit.rar).
     • Wählen Sie RAR als Archivformat.
     • Stellen Sie die Kompressionsmethode auf Store oder Normal.
     • Stellen Sie sicher, dass keine erweiterten Optionen (z. B. Passwortschutz) aktiviert sind.
   • Klicken Sie auf OK, um das Archiv zu erstellen.
   • Überprüfen Sie den Archivinhalt, indem Sie exploit.rar in WinRAR öffnen. Sie sollten Folgendes sehen:

     Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
     

5. Das Archiv auf die VM übertragen:

   • Kopieren Sie exploit.rar in einen freigegebenen Ordner oder auf ein USB-Laufwerk, auf das die VM zugreifen kann.
   • Verschieben Sie exploit.rar in der VM in das Stammverzeichnis des Laufwerks C:\:

     C:\exploit.rar