सुरक्षा विश्लेषण: WinRAR में पाथ ट्रैवर्सल शोषण (CVE-2025-8088)

नोट: रिपॉजिटरी विकासाधीन है। इस परियोजना को अतिरिक्त विश्लेषण, विश्लेषण स्क्रिप्ट (गैर-शोषण) और प्रस्तुति सामग्री के साथ भविष्य में अपडेट प्राप्त होंगे। उपलब्ध होते ही नए संस्करण प्रकाशित किए जाएंगे।

यह रिपॉजिटरी WinRAR (CVE-2025-8088) में Directory Traversal (CWE-35) भेद्यता के लिए विश्लेषण, अध्ययन प्रक्रिया और प्रूफ ऑफ कॉन्सेप्ट (PoC) का दस्तावेजीकरण करती है।

यह दोष Windows के लिए WinRAR के 7.13 से पहले के संस्करणों को प्रभावित करता है और इसे उच्च गंभीरता (बेस स्कोर 8.8) के साथ वर्गीकृत किया गया था।

I. संक्रमण प्रक्रिया: ZIP फ़ाइल से मनमाना कोड तक

CVE-2025-8088 की सफलता पीड़ित द्वारा आवश्यक इंटरैक्शन की सरलता में निहित है: कोड निष्पादन केवल एक दुर्भावनापूर्ण फ़ाइल को अनज़िप करने पर ट्रिगर होता है।

सरल हमला वेक्टर

1. सोशल इंजीनियरिंग (फ़िशिंग): RomCom और Paper Werewolf जैसे खतरे वाले समूहों ने स्पीयर फ़िशिंग अभियानों में इस भेद्यता का उपयोग किया।
2. चारा (Decoy): हमलावरों ने वैध दस्तावेज़ों, जैसे रिज़्यूमे या वित्तीय रिपोर्ट, के रूप में प्रच्छन्न दुर्भावनापूर्ण RAR फ़ाइलें भेजीं।
3. उपयोगकर्ता की क्रिया: सामग्री तक पहुँचने के प्रयास में, पीड़ित WinRAR के एक कमजोर संस्करण (≤ 7.12) के साथ दुर्भावनापूर्ण RAR फ़ाइल निकालता है।
4. छिपा हुआ शोषण: निष्कर्षण के दौरान, फ़ाइल को अपेक्षित गंतव्य निर्देशिका में जमा करने के बजाय, Path Traversal दोष WinRAR को पेलोड (दुर्भावनापूर्ण कोड) को ऑपरेटिंग सिस्टम के एक महत्वपूर्ण फ़ोल्डर में लिखने के लिए मजबूर करता है।

परिणाम: ऑपरेटिंग सिस्टम में स्थायित्व

एक्सप्लॉइट का मुख्य लक्ष्य Windows स्टार्टअप फ़ोल्डर (AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\) है।

• जब कमजोर WinRAR फ़ाइल को अनज़िप करता है, तो पेलोड Startup फ़ोल्डर में जमा हो जाता है।
• अगली बार जब उपयोगकर्ता लॉगिन करता है (रीबूट या लॉगआउट के बाद), पेलोड स्वचालित रूप से निष्पादित होता है, जिससे स्थायित्व सुनिश्चित होता है।

यह पैटर्न RomCom जैसे खतरे वाले समूहों द्वारा ऐसे बैकडोर तैनात करने के लिए उपयोग किया गया था जो समझौता किए गए कंप्यूटरों तक पूर्ण पहुँच प्रदान करते थे।

II. शोषण के लिए अध्ययन प्रक्रियाएँ और तकनीकी विश्लेषण

एक मजबूत प्रूफ ऑफ कॉन्सेप्ट के विकास के लिए RAR प्रारूप की बाइनरी संरचनाओं और Windows ऑपरेटिंग सिस्टम की विशिष्टताओं का गहन अध्ययन आवश्यक है।

1. RAR 5.0 हेडर (Headers) का हेरफेर

भेद्यता RAR फ़ाइल के हेडर के हेरफेर के माध्यम से शोषित की जाती है। हमलावर केवल किसी फ़ाइल का नाम नहीं बदल सकते; उन्हें WinRAR को एक दुर्भावनापूर्ण पथ स्वीकार करने के लिए मजबूर करना होगा, जो फ़ाइल संरचना में संग्रहीत होता है।

• फ़ाइल संरचना: अध्ययन के लिए यह समझना आवश्यक है कि File header और Service header जैसे डेटा ब्लॉक कैसे स्वरूपित होते हैं। फ़ाइल हेडर के भीतर Name length फ़ील्ड और Name फ़ील्ड (जिसमें पथ होता है) को बदल दिया जाता है।
• बाइनरी पैचिंग: शोषण स्क्रिप्ट पाथ ट्रैवर्सल अनुक्रम (..\..\..\) इंजेक्ट करने के लिए RAR हेडर पर पैच लागू करती है।
• फ़ाइल अखंडता: संशोधित फ़ाइल को WinRAR के लिए मान्य दिखने के लिए, स्क्रिप्ट को CRC चेकसम (Cyclic Redundancy Checksums) की पुनर्गणना करनी होती है। इस प्रकार का बाइनरी हेरफेर अक्सर Python के struct जैसे मॉड्यूल के साथ किया जाता है, जिसका उपयोग बाइट्स को पैक किए गए बाइनरी डेटा के रूप में व्याख्या करने के लिए किया जाता है।

2. बहु-गहराई ट्रैवर्सल रणनीति

अध्ययन से पता चला कि शोषण के लिए एक बड़ी चुनौती सटीक निष्कर्षण निर्देशिका (डेस्कटॉप, डाउनलोड, आदि) के बारे में अनिश्चितता थी।

• अध्ययन समाधान: बहु-गहराई ट्रैवर्सल रणनीति विकसित की गई।
• कार्यप्रणाली: एक्सप्लॉइट कई चारा फ़ाइलें बनाता है (उदाहरण के लिए, 20 File.txt फ़ाइलें)। प्रत्येक फ़ाइल को पैरेंट निर्देशिकाओं की एक अलग संख्या को पार करने का प्रयास करने के लिए कॉन्फ़िगर किया जाता है (उदाहरण: ..\Startup\payload.bat, फिर ..\..\Startup\payload.bat, 20 गहराई तक)।
• लाभ: यह अतिरेक सुनिश्चित करता है कि, पीड़ित फ़ाइल को जिस भी निर्देशिका गहराई में निकालता है, कम से कम एक पेलोड निश्चित गंतव्य तक पहुँचेगा (Windows का Startup फ़ोल्डर)।

3. ऑल्टरनेट डेटा स्ट्रीम्स (ADS) के माध्यम से छुपाव

पेलोड को छुपाकर एम्बेड करने के लिए, शोध Windows NTFS फ़ाइल सिस्टम की एक विशिष्ट सुविधा का उपयोग करता है: ऑल्टरनेट डेटा स्ट्रीम्स (ADS)।

• पेलोड (एक बैच स्क्रिप्ट या निष्पादन योग्य) ADS के माध्यम से एक चारा फ़ाइल (जैसे एक पेशेवर PDF) से जुड़ा होता है।
• ADS और Windows-विशिष्ट पथों, जैसे RELATIVE_DROP_PATH, का उपयोग मुख्य कारण हैं कि एक्सप्लॉइट की जनरेशन के लिए Windows वातावरण की आवश्यकता क्यों होती है।

III. रक्षा शमन उपाय

CVE-2025-8088 भेद्यता का सक्रिय रूप से शोषण किया गया था (in the wild) और यह CISA के KEV (Known Exploited Vulnerabilities) कैटलॉग में सूचीबद्ध है।

सबसे महत्वपूर्ण बचाव अपडेट है, क्योंकि शोषण पुराने सॉफ़्टवेयर पर निर्भर करता है:

• WinRAR को संस्करण 7.13 या उससे ऊपर अपडेट करें।
• अविश्वसनीय स्रोतों से फ़ाइलों का निष्कर्षण अक्षम करें।
• Windows स्टार्टअप फ़ोल्डरों में अनधिकृत लेखन का पता लगाने के लिए सुरक्षा लॉग की निगरानी करें।

---

अध्ययन उपमा: RAR फ़ाइल को एक डाक पार्सल के रूप में कल्पना करें। Path Traversal डिलीवरी पते को बार-बार "प्रेषक को वापस" (../) कमांड से भरने जैसा है। तकनीकी अध्ययन में यह पता लगाना शामिल था कि पार्सल लेबल (RAR हेडर) के किस हिस्से के साथ छेड़छाड़ करने की आवश्यकता थी और यह सुनिश्चित करने के लिए कितने "वापस" कमांड आवश्यक होंगे (बहु-गहराई रणनीति), चाहे डाक (WinRAR) कहीं से भी शुरू हो, पैकेज तिजोरी (Startup फ़ोल्डर) में जमा हो जाएगा। "पैकेज स्वीकार करने" (अनज़िप करने) की सरल क्रिया संक्रमण सुनिश्चित करती है।