CVE-2025-6218-WinRAR-Directory-Traversal-RCE

CVE-2025-6218 es una vulnerabilidad de directory traversal en WinRAR que permite a un atacante colocar archivos fuera del directorio de extracción previsto cuando un usuario extrae un archivo .rar especialmente manipulado. Al explotar esta falla, un atacante puede colocar archivos maliciosos en ubicaciones sensibles, lo que potencialmente puede llevar a la ejecución remota de código (RCE) si el sistema o el usuario ejecutan el archivo.

Poc

Versiones afectadas

• Versiones de WinRAR ≤ 7.11 son vulnerables.
• Las versiones ≥ 7.12 Beta 1 incluyen un parche para mitigar este problema.
• Siempre verifique la versión de WinRAR instalada (mediante WinRAR.exe --version).

Por qué las vulnerabilidades de Directory Traversal son peligrosas

Las vulnerabilidades de directory traversal permiten a los atacantes manipular rutas de archivos para escribir archivos en ubicaciones no deseadas. En el contexto de WinRAR, esto significa que un archivo destinado a ser extraído en C:\Temp podría colocarse en un directorio sensible como la carpeta de Inicio de Windows (C:\Users\<usuario>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). Si se coloca un ejecutable o script malicioso en dicha ubicación, podría ejecutarse automáticamente, otorgando al atacante control sobre el sistema de la víctima.

Impacto en el mundo real

Un atacante puede:

• Colocar un script malicioso (por ejemplo, un archivo .bat) en la carpeta de Inicio para ejecutar código al iniciar el sistema.
• Sobrescribir archivos críticos del sistema en directorios como C:\Windows\System32 para interrumpir la funcionalidad del sistema o escalar privilegios.
• Entregar cargas útiles como ransomware, spyware o backdoors sin el conocimiento del usuario.
• Combinar esto con ingeniería social (por ejemplo, engañar a un usuario para que extraiga un archivo malicioso) para lograr RCE.

2. Explicación de la causa raíz

Cómo WinRAR no logra sanitizar las rutas de archivos

La vulnerabilidad se origina en la incapacidad de WinRAR para validar y sanitizar adecuadamente las rutas de archivos almacenadas dentro de un archivo .rar. Al extraer archivos, WinRAR confía en los metadatos de la ruta del archivo en el archivo sin verificar suficientemente secuencias de directorio transversal como ..\ o ../../. Esto permite que un atacante cree un archivo donde la ruta de un archivo apunte fuera del directorio de extracción previsto.

Cómo las secuencias ..\..\..\ engañan al proceso de extracción

• Conceptos básicos de Directory Traversal: La secuencia ..\ en una ruta de archivo indica al sistema que suba un nivel de directorio. Al encadenar múltiples secuencias ..\ (por ejemplo, ..\..\..\..\..), un atacante puede navegar desde el directorio de extracción (por ejemplo, C:\Temp\Test) hasta la raíz de la unidad (C:\) y luego a cualquier ubicación deseada, como C:\Users\<usuario>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• La falla de WinRAR: Las versiones vulnerables de WinRAR (≤ 7.11) no bloquean ni sanitizan estas secuencias, lo que permite que el proceso de extracción coloque archivos en ubicaciones arbitrarias relativas al punto de extracción.

Por qué los archivos pueden terminar en ubicaciones sensibles

• Carpeta de Inicio: Los archivos colocados en C:\Users\<usuario>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup se ejecutan automáticamente cuando un usuario inicia sesión. Un archivo .bat o .exe malicioso aquí puede ejecutar comandos arbitrarios.
• System32 u otros directorios sensibles: Sobrescribir o agregar archivos en C:\Windows\System32 puede comprometer la integridad del sistema o permitir el escalado de privilegios.
• Sin interacción del usuario requerida: Si el archivo se coloca en una ubicación de ejecución automática como la carpeta de Inicio, la carga útil se ejecuta sin más acción del usuario después de la extracción.

Diagrama visual: Rutas de extracción previstas vs. reales

Extracción prevista (segura):
- Usuario extrae el archivo en: C:\Temp\Test
- El archivo contiene: payload.bat
- Resultado esperado: C:\Temp\Test\payload.bat

Extracción real (explotada):
- Usuario extrae el archivo en: C:\Temp\Test
- El archivo contiene una ruta: ..\..\..\..\..\Users\<usuario>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- Resultado real: C:\Users\<usuario>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

3. Guía de explotación manual

Esta sección proporciona instrucciones paso a paso para reproducir manualmente la vulnerabilidad CVE-2025-6218 en un entorno de laboratorio aislado y seguro utilizando una máquina virtual (VM) sin conectividad de red. El objetivo es crear un archivo .rar que coloque un archivo .bat inofensivo en la carpeta de Inicio de Windows, que ejecute la Calculadora (calc.exe) al iniciar sesión del usuario.

Requisitos previos

• Una máquina virtual con Windows 10 y WinRAR versión ≤ 7.11 instalado.
• WinRAR instalado en su máquina anfitriona (≤ 7.11) para crear el archivo.
• Un editor de texto (por ejemplo, Bloc de notas) para crear la carga útil.
• Sin conectividad de red en la VM para garantizar la seguridad.

Instrucciones paso a paso

1. Prepare una carpeta de prueba:

   • En su máquina anfitriona, cree una carpeta llamada exploit_test (por ejemplo, C:\exploit_test).
   • Esta carpeta contendrá la carga útil y la estructura de carpetas para el archivo.

2. Cree una carga útil simple:

   • Abra el Bloc de notas y cree un nuevo archivo con el siguiente contenido:
     root@kitploit:~

     @echo off
     start calc.exe
     

   • Guarde el archivo como payload.bat en C:\exploit_test.
   • Este archivo batch es inofensivo y abrirá la Calculadora de Windows cuando se ejecute.

3. Cree la estructura de carpetas para el Directory Traversal:

   • Dentro de C:\exploit_test, cree una estructura de carpetas que refleje la ruta deseada:
     root@kitploit:~

     C:\exploit_test\Users\<usuario>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

     Reemplace <usuario> con el nombre del usuario objetivo en la VM (por ejemplo, absholi7ly).
   • Mueva payload.bat a la carpeta :

4. Verificación

Verificar la carga útil colocada

• Abra el Explorador de Windows en la VM.
• Navegue a:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Busque payload.bat. Si está presente, el exploit de directory traversal tuvo éxito.
• Abra payload.bat en el Bloc de notas para verificar su contenido:
  root@kitploit:~

  @echo off
  start calc.exe
  

Confirmar la ruta del archivo

• Haga clic derecho en payload.bat en la carpeta de Inicio y seleccione Propiedades.
• Verifique que el campo Ubicación coincida con:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Si el archivo está en otro lugar (por ejemplo, C:\payload.bat o una subcarpeta como C:\Users\username\AppData\Roaming\...), el exploit no funcionó como se esperaba.

Confirmar la ejecución de la carga útil

• Cierre la sesión y vuelva a iniciar sesión en la VM como el usuario username.
• Alternativamente, reinicie la VM.
• Observe si la Calculadora se abre automáticamente.
• Si no, haga doble clic manualmente en payload.bat en la carpeta de Inicio para verificar que funciona.

5. Mención opcional de automatización

Para los investigadores que buscan optimizar el proceso, los pasos manuales descritos anteriormente pueden automatizarse mediante un script de Python.