Analyse de sécurité : Exploitation d'un Path Traversal dans WinRAR (CVE-2025-8088)

Note : Dépôt en cours de développement. Ce projet recevra des mises à jour futures avec des analyses supplémentaires, des scripts d'analyse (non-exploit) et du matériel de présentation. De nouvelles versions seront publiées dès qu'elles seront disponibles.

Ce dépôt documente l'analyse, le processus d'étude et la preuve de concept (PoC) de la vulnérabilité de Directory Traversal (CWE-35) dans WinRAR (CVE-2025-8088).

La faille affecte les versions de WinRAR pour Windows antérieures à la 7.13 et a été classée avec une sévérité Élevée (Score de base 8.8).

I. Le Processus d'Infection : Du fichier ZIP au code arbitraire

Le succès de la CVE-2025-8088 réside dans la simplicité de l'interaction requise de la part de la victime : l'exécution de code est déclenchée simplement en décompressant un fichier malveillant.

Le Vecteur d'Attaque Simple

1. Ingénierie sociale (hameçonnage) : Des groupes de menaces comme RomCom et Paper Werewolf ont utilisé cette vulnérabilité dans des campagnes de spear phishing.
2. Le Leurre (Decoy) : Les attaquants envoyaient des fichiers RAR malveillants déguisés en documents légitimes, tels que des CV ou des rapports financiers.
3. L'Action de l'Utilisateur : La victime, en tentant d'accéder au contenu, extrait le fichier RAR malveillant avec une version vulnérable de WinRAR (≤ 7.12).
4. L'Exploitation Cachée : Pendant l'extraction, au lieu que le fichier soit déposé dans le répertoire de destination attendu, la faille de Path Traversal force WinRAR à écrire le payload (code malveillant) dans un dossier critique du système d'exploitation.

La Conséquence : Persistance dans le Système d'Exploitation

L'exploit a pour cible principale le dossier de démarrage de Windows (AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\).

• Lorsque le WinRAR vulnérable décompresse le fichier, le payload est déposé dans le dossier Startup.
• À la prochaine connexion de l'utilisateur (après un redémarrage ou une déconnexion), le payload est automatiquement exécuté, garantissant la persistance.

Ce schéma a été utilisé par des groupes de menaces comme RomCom pour déployer des backdoors qui accordaient un accès total aux ordinateurs compromis.

II. Processus d'Étude et d'Analyse Technique pour l'Exploitation

Le développement d'une preuve de concept robuste nécessite une étude approfondie des structures binaires du format RAR et des particularités du système d'exploitation Windows.

1. Manipulation des En-têtes (Headers) RAR 5.0

La vulnérabilité est exploitée par la manipulation des en-têtes du fichier RAR. Les attaquants ne peuvent pas simplement renommer un fichier ; ils doivent forcer WinRAR à accepter un chemin malveillant, stocké dans la structure du fichier.

• Structure des fichiers : L'étude nécessite la compréhension de la façon dont les blocs de données, comme le File header et le Service header, sont formatés. Le champ Name length et le champ Name (qui contient le chemin) dans l'en-tête du fichier sont modifiés.
• Patchage binaire : Le script d'exploitation applique des patches aux en-têtes RAR pour injecter la séquence de path traversal (..\..\..\).
• Intégrité du fichier : Pour que le fichier modifié semble valide pour WinRAR, le script doit recalculer les sommes de contrôle CRC (Cyclic Redundancy Checksums). Ce type de manipulation binaire est souvent réalisé avec des modules comme struct de Python, utilisé pour interpréter des octets comme des données binaires empaquetées.

2. Stratégie de Traversée Multi-Profondeur

L'étude a révélé qu'un grand défi pour l'exploitation était l'incertitude quant au répertoire d'extraction exact (Bureau, Téléchargements, etc.).

• Solution d'étude : La Stratégie de Traversée Multi-Profondeur a été développée.
• Fonctionnement : L'exploit crée plusieurs fichiers leurres (par exemple, 20 fichiers File.txt). Chaque fichier est configuré pour tenter de traverser un nombre différent de répertoires parents (exemple : ..\Startup\payload.bat, puis ..\..\Startup\payload.bat, jusqu'à 20 profondeurs).
• Avantage : Cette redondance garantit que, quelle que soit la profondeur du répertoire où la victime extrait le fichier, au moins un des payloads atteindra la destination fixe (le dossier Startup de Windows).

3. Discrétion grâce aux Alternate Data Streams (ADS)

Pour incorporer le payload de manière discrète, la recherche utilise une fonctionnalité exclusive du système de fichiers NTFS de Windows : les Alternate Data Streams (ADS).

• Le payload (un batch script ou un exécutable) est annexé à un fichier leurre (comme un PDF professionnel) via ADS.
• L'utilisation des ADS et des chemins spécifiques à Windows, comme RELATIVE_DROP_PATH, est la principale raison pour laquelle la génération de l'exploit requiert un environnement Windows.

III. Atténuations de Défense

La vulnérabilité CVE-2025-8088 a été activement exploitée (in the wild) et figure dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA.

La défense la plus critique est la mise à jour, étant donné que l'exploitation dépend de logiciels obsolètes :

• Mettez à jour WinRAR vers la version 7.13 ou supérieure.
• Désactivez l'extraction de fichiers provenant de sources non fiables.
• Surveillez les journaux de sécurité pour détecter les écritures non autorisées dans les dossiers de démarrage de Windows.

---

Analogie d'étude : Imaginez le fichier RAR comme un colis postal. Le Path Traversal revient à remplir l'adresse de livraison avec des commandes de « retour à l'expéditeur » (../) répétées. L'étude technique a consisté à découvrir exactement quelle partie de l'étiquette du colis (l'en-tête RAR) devait être falsifiée et combien de commandes de « retour » seraient nécessaires (la stratégie multi-profondeur) pour garantir que, peu importe où le courrier (WinRAR) commencerait, le paquet serait déposé dans le coffre (le dossier Startup). La simple action d'« accepter le paquet » (décompresser) garantit l'infection.