CVE-2025-6218-WinRAR-Traversée-de-répertoire-RCE

CVE-2025-6218 est une vulnérabilité de traversée de répertoire dans WinRAR qui permet à un attaquant de placer des fichiers en dehors du répertoire d'extraction prévu lorsqu'un utilisateur extrait une archive .rar spécialement conçue. En exploitant cette faille, un attaquant peut déposer des fichiers malveillants dans des emplacements sensibles, ce qui peut conduire à une exécution de code à distance (RCE) si le fichier est exécuté par le système ou l'utilisateur.

Poc

Versions concernées

• Les versions WinRAR ≤ 7.11 sont vulnérables.
• Les versions ≥ 7.12 Beta 1 incluent un correctif pour atténuer ce problème.
• Vérifiez toujours la version de WinRAR installée (via WinRAR.exe --version).

Pourquoi les failles de traversée de répertoire sont dangereuses

Les vulnérabilités de traversée de répertoire permettent aux attaquants de manipuler les chemins de fichiers pour écrire des fichiers dans des emplacements non prévus. Dans le contexte de WinRAR, cela signifie qu'un fichier destiné à être extrait dans C:\Temp pourrait être placé dans un répertoire sensible comme le dossier Démarrage de Windows (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). Si un exécutable ou un script malveillant est placé dans un tel emplacement, il pourrait s'exécuter automatiquement, donnant à l'attaquant le contrôle sur le système de la victime.

Impact dans le monde réel

Un attaquant peut :

• Déposer un script malveillant (par exemple, un fichier .bat) dans le dossier Démarrage pour exécuter du code au démarrage du système.
• Écraser des fichiers système critiques dans des répertoires comme C:\Windows\System32 pour perturber le fonctionnement du système ou élever les privilèges.
• Livrer des charges utiles telles que des rançongiciels, des logiciels espions ou des portes dérobées à l'insu de l'utilisateur.
• Combiner cela avec de l'ingénierie sociale (par exemple, amener un utilisateur à extraire une archive malveillante) pour réaliser une RCE.

2. Explication de la cause racine

Comment WinRAR échoue à nettoyer les chemins de fichiers

La vulnérabilité provient de l'incapacité de WinRAR à valider et nettoyer correctement les chemins de fichiers stockés dans une archive .rar. Lors de l'extraction des fichiers, WinRAR fait confiance aux métadonnées du chemin du fichier dans l'archive sans vérifier suffisamment les séquences de traversée de répertoire comme ..\ ou ../../. Cela permet à un attaquant de créer une archive où le chemin d'un fichier pointe en dehors du répertoire d'extraction prévu.

Comment les séquences ..\..\..\ trompent le processus d'extraction

• Bases de la traversée de répertoire : La séquence ..\ dans un chemin de fichier indique au système de remonter d'un niveau de répertoire. En enchaînant plusieurs séquences ..\ (par exemple, ..\..\..\..\..), un attaquant peut naviguer du répertoire d'extraction (par exemple, C:\Temp\Test) à la racine du lecteur (C:\) puis vers n'importe quel emplacement souhaité, comme C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• Défaut de WinRAR : Les versions vulnérables de WinRAR (≤ 7.11) ne bloquent ni ne nettoient ces séquences, permettant au processus d'extraction de placer des fichiers dans des emplacements arbitraires par rapport au point d'extraction.

Pourquoi les fichiers peuvent atterrir dans des emplacements sensibles

• Dossier Démarrage : Les fichiers placés dans C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup s'exécutent automatiquement lorsqu'un utilisateur se connecte. Un fichier .bat ou .exe malveillant ici peut exécuter des commandes arbitraires.
• System32 ou autres répertoires sensibles : L'écrasement ou l'ajout de fichiers dans C:\Windows\System32 peut compromettre l'intégrité du système ou permettre une élévation de privilèges.
• Aucune interaction utilisateur requise : Si le fichier est placé dans un emplacement à exécution automatique comme le dossier Démarrage, la charge utile s'exécute sans action supplémentaire de l'utilisateur après l'extraction.

Schéma visuel : Chemins d'extraction prévus vs réels

Extraction prévue (sécurisée) :
- L'utilisateur extrait l'archive vers : C:\Temp\Test
- L'archive contient le fichier : payload.bat
- Résultat attendu : C:\Temp\Test\payload.bat

Extraction réelle (exploitée) :
- L'utilisateur extrait l'archive vers : C:\Temp\Test
- L'archive contient un fichier avec le chemin : ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- Résultat réel : C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

3. Guide d'exploitation manuelle

Cette section fournit des instructions étape par étape pour reproduire manuellement la vulnérabilité CVE-2025-6218 dans un environnement de laboratoire sûr et isolé à l'aide d'une machine virtuelle (VM) sans connectivité réseau. L'objectif est de créer une archive .rar qui place un fichier .bat inoffensif dans le dossier Démarrage de Windows, qui lance la Calculatrice (calc.exe) lors de la connexion de l'utilisateur.

Prérequis

• Une machine virtuelle exécutant Windows 10 avec WinRAR version ≤ 7.11 installée.
• WinRAR installé sur votre machine hôte (≤ 7.11) pour créer l'archive.
• Un éditeur de texte (par exemple, le Bloc-Notes) pour créer la charge utile.
• Aucune connectivité réseau sur la VM pour garantir la sécurité.

Instructions étape par étape

1. Préparer un dossier de test :

   • Sur votre machine hôte, créez un dossier nommé exploit_test (par exemple, C:\exploit_test).
   • Ce dossier contiendra la charge utile et la structure de dossiers pour l'archive.

2. Créer une charge utile simple :

   • Ouvrez le Bloc-Notes et créez un nouveau fichier avec le contenu suivant :
     root@kitploit:~

     @echo off
     start calc.exe
     

   • Enregistrez le fichier sous payload.bat dans C:\exploit_test.
   • Ce fichier batch est inoffensif et ouvrira la Calculatrice Windows lorsqu'il sera exécuté.

3. Créer la structure de dossiers pour la traversée de répertoire :

   • À l'intérieur de C:\exploit_test, créez une structure de dossiers qui reflète le chemin souhaité :
     root@kitploit:~

     C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

     Remplacez <username> par le nom de l'utilisateur cible sur la VM (par exemple, absholi7ly).
   • Déplacez dans le dossier :

4. Vérification

Vérifier la présence de la charge utile déposée

• Ouvrez l'Explorateur Windows sur la VM.
• Naviguez vers :
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Recherchez payload.bat. S'il est présent, l'exploit de traversée de répertoire a réussi.
• Ouvrez payload.bat dans le Bloc-Notes pour vérifier son contenu :
  root@kitploit:~

  @echo off
  start calc.exe
  

Confirmer le chemin du fichier

• Faites un clic droit sur payload.bat dans le dossier Démarrage et sélectionnez Propriétés.
• Vérifiez le champ Emplacement pour confirmer qu'il correspond à :
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Si le fichier se trouve ailleurs (par exemple, C:\payload.bat ou dans un sous-dossier comme C:\Users\username\AppData\Roaming\...), l'exploit n'a pas fonctionné comme prévu.

Confirmer l'exécution de la charge utile

• Déconnectez-vous puis reconnectez-vous à la VM en tant qu'utilisateur username.
• Sinon, redémarrez la VM.
• Observez si la Calculatrice s'ouvre automatiquement.
• Si ce n'est pas le cas, double-cliquez manuellement sur payload.bat dans le dossier Démarrage pour vérifier qu'il fonctionne.

5. Mention optionnelle de l'automatisation

Pour les chercheurs souhaitant rationaliser le processus, les étapes manuelles décrites ci-dessus peuvent être automatisées à l'aide d'un script Python.