Sicherheitsanalyse: Path-Traversal-Ausnutzung im WinRAR (CVE-2025-8088)

Hinweis: Repository in Entwicklung. Dieses Projekt wird in Zukunft Updates mit zusätzlichen Analysen, Analyse-Skripten (Nicht-Exploit) und Präsentationsmaterial erhalten. Neue Versionen werden veröffentlicht, sobald sie verfügbar sind.

Dieses Repository dokumentiert die Analyse, den Studienprozess und den Proof of Concept (PoC) für die Directory-Traversal-Schwachstelle (CWE-35) im WinRAR (CVE-2025-8088).

Der Fehler betrifft die WinRAR-Versionen für Windows vor 7.13 und wurde mit dem Schweregrad Hoch (Base Score 8.8) eingestuft.

I. Der Infektionsprozess: Von der ZIP-Datei zu beliebigem Code

Der Erfolg von CVE-2025-8088 liegt in der Einfachheit der erforderlichen Interaktion seitens des Opfers: Die Codeausführung wird bereits durch das Entpacken einer bösartigen Datei ausgelöst.

Der einfache Angriffsvektor

1. Social Engineering (Phishing): Bedrohungsgruppen wie RomCom und Paper Werewolf nutzten diese Schwachstelle in Spear-Phishing-Kampagnen.
2. Der Köder (Decoy): Die Angreifer sendeten bösartige RAR-Dateien, die als legitime Dokumente getarnt waren, etwa Lebensläufe oder Finanzberichte.
3. Die Benutzeraktion: Das Opfer extrahiert beim Versuch, auf den Inhalt zuzugreifen, die bösartige RAR-Datei mit einer verwundbaren WinRAR-Version (≤ 7.12).
4. Die versteckte Ausnutzung: Während der Extraktion wird die Datei nicht im erwarteten Zielverzeichnis abgelegt; stattdessen zwingt der Path-Traversal-Fehler WinRAR, den Payload (bösartigen Code) in einen kritischen Ordner des Betriebssystems zu schreiben.

Die Konsequenz: Persistenz im Betriebssystem

Der Exploit zielt in erster Linie auf den Windows-Autostart-Ordner (AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\).

• Wenn die verwundbare WinRAR-Version die Datei entpackt, wird der Payload im Ordner Startup abgelegt.
• Beim nächsten Login des Benutzers (nach einem Neustart oder Logout) wird der Payload automatisch ausgeführt, was Persistenz gewährleistet.

Dieses Muster wurde von Bedrohungsgruppen wie RomCom genutzt, um Backdoors zu implantieren, die vollständigen Zugriff auf die kompromittierten Computer gewährten.

II. Studien- und technische Analyseprozesse für die Ausnutzung

Die Entwicklung eines robusten Proof of Concept erfordert eine eingehende Untersuchung der binären Strukturen des RAR-Formats und der Besonderheiten des Windows-Betriebssystems.

1. Manipulation von RAR-5.0-Headern

Die Schwachstelle wird durch die Manipulation der Header der RAR-Datei ausgenutzt. Angreifer können eine Datei nicht einfach umbenennen; sie müssen WinRAR dazu zwingen, einen bösartigen Pfad zu akzeptieren, der in der Dateistruktur gespeichert ist.

• Dateistruktur: Die Studie erfordert das Verständnis, wie Datenblöcke wie der File header und der Service header formatiert sind. Das Feld Name length und das Feld Name (das den Pfad enthält) innerhalb des Datei-Headers werden verändert.
• Binäres Patchen: Das Exploit-Skript wendet Patches auf die RAR-Header an, um die Path-Traversal-Sequenz (..\..\..\) einzuschleusen.
• Dateiintegrität: Damit die modifizierte Datei für WinRAR gültig erscheint, muss das Skript die CRC-Prüfsummen (Cyclic Redundancy Checksums) neu berechnen. Diese Art der binären Manipulation wird häufig mit Modulen wie Pythons struct durchgeführt, das verwendet wird, um Bytes als gepackte Binärdaten zu interpretieren.

2. Multi-Tiefen-Traversal-Strategie

Die Studie ergab, dass eine große Herausforderung für die Ausnutzung die Unsicherheit über das genaue Extraktionsverzeichnis (Desktop, Downloads usw.) war.

• Studienlösung: Es wurde die Multi-Tiefen-Traversal-Strategie entwickelt.
• Funktionsweise: Der Exploit erstellt mehrere Köderdateien (z. B. 20 Dateien File.txt). Jede Datei ist so konfiguriert, dass sie versucht, eine unterschiedliche Anzahl übergeordneter Verzeichnisse zu durchlaufen (Beispiel: ..\Startup\payload.bat, dann ..\..\Startup\payload.bat, bis zu 20 Tiefen).
• Vorteil: Diese Redundanz stellt sicher, dass – unabhängig von der Tiefe des Verzeichnisses, in dem das Opfer die Datei extrahiert – mindestens einer der Payloads das feste Ziel erreicht (den Startup-Ordner von Windows).

3. Tarnung durch Alternate Data Streams (ADS)

Um den Payload unauffällig einzubetten, nutzt die Forschung eine Funktion, die exklusiv dem Windows-NTFS-Dateisystem vorbehalten ist: die Alternate Data Streams (ADS).

• Der Payload (ein Batch-Skript oder eine ausführbare Datei) wird über ADS an eine Köderdatei (z. B. ein professionelles PDF) angehängt.
• Die Verwendung von ADS und windows-spezifischen Pfaden wie RELATIVE_DROP_PATH sind die Hauptgründe, warum die Erzeugung des Exploits eine Windows-Umgebung erfordert.

III. Abwehrmaßnahmen

Die Schwachstelle CVE-2025-8088 wurde aktiv ausgenutzt (in the wild) und ist im KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgeführt.

Die wichtigste Verteidigung ist die Aktualisierung, da die Ausnutzung von veralteter Software abhängt:

• Aktualisieren Sie WinRAR auf Version 7.13 oder höher.
• Deaktivieren Sie die Extraktion von Dateien aus nicht vertrauenswürdigen Quellen.
• Überwachen Sie Sicherheitslogs, um unbefugte Schreibvorgänge in den Autostart-Ordnern von Windows zu erkennen.

---

Studien-Analogie: Stellen Sie sich die RAR-Datei wie ein Postpaket vor. Der Path Traversal ist, als würde man die Lieferadresse mit wiederholten „zurück an den Absender"-Befehlen (../) ausfüllen. Die technische Studie bestand darin, herauszufinden, welcher Teil des Paketetiketts (der RAR-Header) manipuliert werden musste und wie viele „zurück"-Befehle nötig wären (die Multi-Tiefen-Strategie), um sicherzustellen, dass das Paket – egal wo die Post (das WinRAR) beginnt – im Safe (dem Startup-Ordner) abgelegt wird. Die bloße Aktion, das Paket anzunehmen (zu entpacken), gewährleistet die Infektion.