CVE-2025-8088-WinRAR-Zero-Day-Path-Traversal

Ein fesselnder Leitfaden zum Aufdecken, Patchen und Sichern von WinRAR CVE-2025-8088 mit einem praktischen Hacker-Twist.

• Typ: Path Traversal (Verzeichnis-Traversal)
• Besonderheit: Verwendet Alternative Datenströme (ADS), um Payloads zu verstecken
• Auswirkung: Böswillige RAR-Dateien können Dinge außerhalb des beabsichtigten Ordners extrahieren – denken Sie an: ..\Startup\evil.dll
• Ergebnis: Platzierung beliebiger Dateien → Persistenz → Backdoor → RAT-Stadt.

Betroffen: WinRAR für Windows (≤7.12), UnRAR.dll, Portable UnRAR Sicher: Linux-, Unix-, Android-Builds.

Das Wichtigste zuerst – Sind Sie verwundbar? 🕵️‍♂️

Bevor Sie in Panik geraten oder den Hacker spielen, überprüfen Sie Ihre Version.

So überprüfen Sie:

• GUI: WinRAR öffnen → Help → About WinRAR
• CMD/Powershell:

(oder winrar.exe aus dem Installationsverzeichnis ausführen)

• DLL-Prüfung: Rechtsklick auf UnRAR.dll → Eigenschaften → Details.

Als ich anfing, dies zu schreiben, war ich auf 7.10 – ja, reif für die Plünderung 🗿🐔🍗.

So patchen Sie (bevor jemand Sie patcht) 🛡️

1. Laden Sie die neueste Version herunter von: rarlab.com/download.htm
2. Wählen Sie 64-Bit oder 32-Bit entsprechend Ihrem System.
3. Führen Sie das Installationsprogramm aus → es wird Ihre alte Version überschreiben.
4. Überprüfen Sie: Help → About WinRAR → sollte 7.13 oder höher anzeigen.
5. Ersetzen Sie UnRAR.dll in abhängigen Tools, falls vorhanden.

WinRAR aktualisiert sich nicht automatisch – stellen Sie eine Kalendererinnerung ein, werden Sie kein statisches Ziel.

PS: Ignorieren Sie meinen Hintergrund-Flex hier — musste ein wenig angeben! 😏

Ausnutzung in freier Wildbahn ⚔️

• RomCom (Storm-0978): Spear-Phishing mit Jobbewerbungs-Ködern, Ukraine-bezogene Ziele.
• Paper Werewolf: Sprang kurz darauf ein und zielte auf russische Organisationen.
• Gelieferte Payloads: SnipBot, RustyClaw, Mythic Agent-Varianten.
• Haben bösartige DLLs/LNKs in %TEMP% & Startup-Ordner abgelegt.
• CISA hat es am 12. August 2025 gelistet → Frist: 2. September 2025.

Proof of Concept (PoC) – Nur im kontrollierten Labor! 🧨

⚠ Haftungsausschluss: Dies ist nur für zu Bildungszwecken und autorisierte Sicherheitstests gedacht. Werden Sie nicht zum vollen Gremlin 🗿.

Schritt 1: Erstellen einer bösartigen DLL

Schritt 2: Erstellen einer Traversal-RAR

Schritt 3: (Optional) ADS-Tarnung

Schritt 4: Extrahieren mit verwundbarem WinRAR

Boom – evil.dll landet im Startup-Ordner. Nächster Neustart? Hallo calc.exe.

Schadensbegrenzung & Jagd 🐺

• Patchen → WinRAR 7.13+

• Suchen Sie nach verdächtigen .dll oder .lnk in:

  • %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
  • %TEMP%

• Überwachen Sie ADS:

  root@kitploit:~

  streams.exe -s C:\
  

• IDS/IPS-Regel: RAR mit ..\-Sequenzen markieren.

• Nessus/Qualys-Plugins sind bereits verfügbar.

Wichtige Zeitleiste

• 18. Juli 2025 – ESET entdeckt aktive Ausnutzung
• 30. Juli 2025 – Patch veröffentlicht (7.13)
• 12. August 2025 – Hinzugefügt zum CISA KEV-Katalog
• 2. September 2025 – Verbindliche Frist für die Behebung für Bundesbehörden

Abschließende Worte – Patchen oder untergehen 🗿

Dies war keine „vielleicht-eines-Tages“-Schwachstelle – sie wurde vor der Offenlegung bewaffnet. Wenn Sie immer noch auf 7.10 sitzen (wie ich beim Schreiben dieses Textes), patchen Sie jetzt. Wenn Sie auf der Red-Team-Seite sind, betrachten Sie dies als Fallstudie darüber, wie alte Werkzeuge zu neuen Angriffsvektoren werden.