CVE-2025-8088-WinRAR-Zero-Day-Path-Traversal

Un tutoriel captivant sur la découverte, la correction et la sécurisation de la vulnérabilité WinRAR CVE-2025-8088, avec une approche pratique de hacker.

• Type : Contournement de chemin (directory traversal)
• Astuce : Utilise des flux de données alternatifs (ADS) pour cacher les charges utiles
• Impact : Les fichiers RAR malveillants peuvent extraire des fichiers en dehors du dossier prévu — pensez : ..\Startup\evil.dll
• Résultat : Placement arbitraire de fichiers → persistance → backdoor → RAT city.

Affecté : WinRAR pour Windows (≤7.12), UnRAR.dll, Portable UnRAR Sûr : Versions Linux, Unix, Android.

Avant toute chose — Êtes-vous vulnérable ? 🕵️‍♂️

Avant de paniquer ou de jouer au hacker, vérifiez votre version.

Comment vérifier :

• GUI : Ouvrez WinRAR → Aide → À propos de WinRAR
• CMD/Powershell :

(ou exécutez winrar.exe depuis son dossier d’installation)

• Vérification DLL : Clic droit sur UnRAR.dll → Propriétés → Détails.

Quand j’ai commencé à écrire ceci, j’étais sur la version 7.10 — oui, mûr pour la cueillette 🗿🐔🍗.

Comment patcher (avant que quelqu’un ne vous patche vous) 🛡️

1. Téléchargez la dernière version depuis : rarlab.com/download.htm
2. Choisissez 64 bits ou 32 bits selon votre système.
3. Lancez l’installateur → il remplacera votre ancienne version.
4. Vérifiez : Aide → À propos de WinRAR → devrait indiquer 7.13 ou supérieur.
5. Remplacez UnRAR.dll dans les outils dépendants, le cas échéant.

WinRAR ne se met pas à jour automatiquement — mettez un rappel dans votre calendrier, ne devenez pas une cible statique.

PS : Ignorez mon petit étalage de fond d’écran — il fallait bien que je montre un peu ! 😏

Exploitation dans la nature ⚔️

• RomCom (Storm-0978) : Leurres de candidatures par spear-phishing, cibles liées à l’Ukraine.
• Paper Werewolf : A rapidement suivi, ciblant des organisations russes.
• Charges utiles livrées : SnipBot, RustyClaw, variantes de Mythic Agent.
• DLL/LNK malveillants déposés dans les dossiers %TEMP% et Startup.
• CISA l’a listé le 12 août 2025 → échéance : 2 septembre 2025.

Preuve de concept (PoC) – Laboratoire contrôlé uniquement ! 🧨

⚠ Avertissement : Ceci est uniquement à des fins de tests de sécurité éducatifs et autorisés. Ne devenez pas un gremlin 🗿.

Étape 1 : Générer une DLL malveillante

Étape 2 : Créer un RAR de contournement

Étape 3 : (Optionnel) Furtivité ADS

Étape 4 : Extraire avec WinRAR vulnérable

Boum — evil.dll se retrouve dans Startup. Redémarrage ? Bonjour calc.exe.

Atténuation et Chasse 🐺

• Patchez → WinRAR 7.13+

• Recherchez des .dll ou .lnk suspects dans :

  • %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
  • %TEMP%

• Surveillez les ADS :

  root@kitploit:~

  streams.exe -s C:\
  

• Règle IDS/IPS : signaler les RAR avec des séquences ..\.

• Plugins Nessus/Qualys déjà disponibles.

Chronologie clé

• 18 juillet 2025 – ESET découvre une exploitation active
• 30 juillet 2025 – Correctif publié (7.13)
• 12 août 2025 – Ajouté au catalogue KEV de la CISA
• 2 septembre 2025 – Échéance de correction obligatoire pour les agences fédérales

Derniers mots – Patchez ou périssez 🗿

Ce n’était pas une vulnérabilité « peut-être un jour » — elle a été armée avant la divulgation. Si vous êtes encore sur la version 7.10 (comme je l’étais en écrivant ceci), patchez maintenant. Si vous êtes du côté de l’équipe rouge, traitez cela comme une étude de cas sur la façon dont les anciens outils deviennent de nouveaux vecteurs d’attaque.