CVE-2025-6218 | ZDI-CAN-27198 | ZDI-25-409 - WinRAR पथ ट्रैवर्सल -> दूरस्थ कोड निष्पादन (RCE)

प्रमाण अवधारणा

अधिक जानकारी:

• https://www.win-rar.com/singlenewsview.html?&L=0
• https://www.cvedetails.com/cve/CVE-2025-6218/
• https://www.zerodayinitiative.com/advisories/ZDI-25-409/

RARLAB WinRAR निर्देशिका ट्रैवर्सल दूरस्थ कोड निष्पादन भेद्यता। यह भेद्यता दूरस्थ हमलावरों को RARLAB WinRAR के प्रभावित इंस्टॉलेशन पर मनमाना कोड निष्पादित करने की अनुमति देती है। इस भेद्यता का शोषण करने के लिए उपयोगकर्ता की बातचीत की आवश्यकता है कि लक्ष्य को एक दुर्भावनापूर्ण पृष्ठ पर जाना होगा या एक दुर्भावनापूर्ण फ़ाइल खोलनी होगी।

विशिष्ट दोष आर्काइव फ़ाइलों के अंदर फ़ाइल पथों के संचालन में मौजूद है। एक निर्मित फ़ाइल पथ प्रक्रिया को अनभिप्रेत निर्देशिकाओं में ट्रैवर्स करने का कारण बन सकता है। एक हमलावर वर्तमान उपयोगकर्ता के संदर्भ में कोड निष्पादित करने के लिए इस भेद्यता का लाभ उठा सकता है। ZDI-CAN-27198 था।

प्रकाशित 2025-06-21 00:09:03 अद्यतन 2025-06-23 20:16:22 स्रोत Zero Day Initiative

भेद्यता श्रेणी: निर्देशिका ट्रैवर्सल | कोड निष्पादित करें

CVE-2025-6218 WinRAR पथ ट्रैवर्सल भेद्यता के लिए एक बहुत ही न्यूनतम और सरल प्रमाण अवधारणा। (इसमें शामिल: भेद्यता परीक्षण के लिए RAR प्रारूप के साथ खेलने के लिए मेरा टूलसेट)

POC में पथ ट्रैवर्सल से RCE श्रृंखला शामिल नहीं है, लेकिन विंडोज पर मनमाना फ़ाइल लेखन से RCE तुच्छ है।

प्रमाण अवधारणा बनाएँ:

$ python3 cve-2025-6218.py

यदि आप इस आर्काइव को निकालते हैं, तो test.txt वर्तमान निर्देशिका से एक स्तर बाहर निकाला जाएगा।

समस्या एक विशिष्ट संघर्ष से उत्पन्न होती है कि कैसे व्हाइटस्पेस को सैनिटाइज़ किया जाता है, कैसे WinRAR निष्पादन में संस्करण 7.11 तक पथ ट्रैवर्सल को स्कैन किया जाता है:

थोड़ा सरलीकृत और साफ किया गया संस्करण:

void file_name_check(char *a1){
  cur_filename = a1;
  j = 0;
  cur_pos = 0;
  if ( *(a1 + 4) > 0 )
  {
    offset = 0;
    while ( 1 )
    {
      if ( (cur_pos + 1) == cur_filename[2] )
        goto BREAK;
      str = cur_filename;
      if ( cur_filename[3] > 7 )
        str = *cur_filename;
      if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
      {
BREAK:
        if ( cur_pos >= 0 )
          break;
      }
LOOP_START:
      ++cur_pos;
      ++offset;
      if ( cur_pos >= *(cur_filename + 4) )
        goto LABEL_47;
    }
    while ( 1 )
    {
      if ( str[offset] != '.' )
      {
        if ( str[offset] != ' ' )
          goto LOOP_START;
      }
      if ( !cur_pos )
      {
        if ( str[offset] == ' ' )
        {
          str[offset] = '_';
          goto LOOP_START;
        }
      }
      if ( str[offset] == '.' )
      {
        if ( !cur_pos )
          goto LOOP_START;
        if ( str[offset - 1] == '\\' || str[offset - 1] == '/' )
          goto LOOP_START;
        if ( cur_pos == 2 )
        {
          if ( is_safe_character(cur_filename) )
            goto LOOP_START;
        }
        else if ( cur_pos < 1 )
        {
          goto DELETE;
        }
        if ( str[offset - 1] == '.' )
        {
          if ( cur_pos == 1 )
            goto LOOP_START;
          if ( str[offset - 2] == '\\' || str[offset - 2] == '/' || cur_pos == 3 && is_safe_character(cur_filename) )
            goto LOOP_START;
        }
      }
DELETE:
      delete_char(cur_filename, cur_pos, 1u);
      --offset;
      if ( --cur_pos < 0 )
        goto LOOP_START;
    }
  }

//...
}

7.12 के बाद:

void __fastcall file_name_check(char **a1){
  cur_filename = a1;
  j = 0;
  if ( *(a1 + 4) > 0 )
  {
    offset = 0;
    fname_index = 1;
    do
    {
      if ( fname_index == cur_filename[2] )
        goto HANDLE_DIR_NEXT;
      str = cur_filename;
      if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
      {
HANDLE_DIR_NEXT:
        if ( offset >= 0 )
        {
          if ( str[offset] == '.' )
            goto FILENAME_BEGINS;
          if ( str[offset] == ' ' )
          {
FILENAME_BEGINS:
            if ( str[offset] != '.' )
              goto CONT;
            if ( offset )
            {
              if ( str[offset - 1] != '\\'
                && str[offset - 1] != '/'
                && (offset != 2 || !is_safe_character(cur_filename)) )
              {
                if ( str[offset - 1] != '.' )
                  goto CONT;
                if ( offset != 1 )
                {
                  if ( str[offset - 2] != '\\'
                    && str[offset - 2] != '/'
                    && (offset != 3 || !is_safe_character(cur_filename)) )
                  {
CONT:
                    str[offset] = '_';
                  }
                }
              }
            }
          }
        }
      }
      ++j;
      ++offset;
      ++fname_index;
    }
    while ( j < *(cur_filename + 4) );
  }

//...

}