CVE-2025-8088 WinRAR प्रूफ ऑफ कॉन्सेप्ट (PoC-Exploit)

PoC

इस रिपॉज़िटरी में CVE-2025-8088 के लिए एक प्रूफ ऑफ कॉन्सेप्ट (PoC) स्क्रिप्ट है, जो 7.12 तक के WinRAR संस्करणों में एक पाथ ट्रैवर्सल भेद्यता है।
यह PoC दर्शाता है कि कैसे हमलावर वैकल्पिक डेटा स्ट्रीम (ADSes) और विशेष रूप से तैयार की गई आर्काइव फ़ाइलों का उपयोग करके इच्छित निष्कर्षण निर्देशिका के बाहर दुर्भावनापूर्ण फ़ाइलें रखने के लिए इस भेद्यता का शोषण कर सकते हैं।

अस्वीकरण: यह उपकरण केवल शैक्षिक और शोध उद्देश्यों के लिए है। इसका उपयोग सिस्टम या नेटवर्क को नुकसान पहुँचाने के लिए न करें। लेखक इस स्क्रिप्ट के दुरुपयोग या क्षति के लिए ज़िम्मेदार नहीं है।

CVE-2025-8088 का अवलोकन

CVE-2025-8088 (CVSS 8.4) WinRAR में एक पाथ ट्रैवर्सल भेद्यता है, जो 7.12 तक के Windows संस्करणों के साथ-साथ UnRAR.dll और इसके पोर्टेबल सोर्स कोड जैसे संबंधित टूल्स को प्रभावित करती है।
यह दोष हमलावरों को विशेष रूप से तैयार की गई RAR फ़ाइलों में ADSes के भीतर दुर्भावनापूर्ण पेलोड एम्बेड करने की अनुमति देता है, जिससे संवेदनशील सिस्टम स्थानों (जैसे Windows स्टार्टअप फ़ोल्डर) में निष्कर्षण संभव होता है।
यह सिस्टम रिबूट होने पर दुर्भावनापूर्ण फ़ाइलों, जैसे DLLs या शॉर्टकट (.lnk) फ़ाइलों के स्वचालित निष्पादन का कारण बन सकता है।

मुख्य विवरण

प्रभावित संस्करण: WinRAR ≤ 7.12
पहली बार देखा गया: वाइल्ड में शोषण 18 जुलाई 2025 को शुरू हुआ (ESET के अनुसार)
पैच उपलब्धता: WinRAR 7.13 में ठीक किया गया, 30 जुलाई 2025 को जारी किया गया
हमलावर: रूस-समर्थित RomCom समूह (उर्फ Storm-0978, Tropical Scorpius, UNC2596) से जुड़े, जो साइबर जासूसी और वित्तीय रूप से प्रेरित हमलों के लिए जाना जाता है
हमले की विधि: नौकरी आवेदनों के रूप में छिपी RAR फ़ाइलों वाले स्पीयरफिशिंग ईमेल, जो यूरोप और कनाडा में वित्त, रक्षा, विनिर्माण और लॉजिस्टिक्स क्षेत्रों को लक्षित करते हैं

एक्सप्लॉइट कैसे काम करता है

यह एक्सप्लॉइट RAR आर्काइव के भीतर ADS पथों में पाथ ट्रैवर्सल सीक्वेंस (..) का उपयोग करता है।
एक प्रतीत होने वाली हानिरहित फ़ाइल (जैसे, रेज़्यूमे) दुर्भावनापूर्ण ADS प्रविष्टियों को छिपाती है, जिनमें शामिल हो सकते हैं:

PoC उपयोग

यह स्क्रिप्ट CVE-2025-8088 भेद्यता प्रदर्शित करने के लिए एक दुर्भावनापूर्ण RAR आर्काइव बनाती है।
इसके लिए Python और rar.exe (WinRAR का कमांड-लाइन टूल) तक पहुँच आवश्यक है।

सुनिश्चित करें कि rar.exe आपके सिस्टम PATH में है, या --rar तर्क का उपयोग करके इसका पथ निर्दिष्ट करें।

कमांड-लाइन तर्क

उदाहरण उपयोग

rar.exe का पथ निर्दिष्ट करते हुए, एक डिकॉय फ़ाइल, एक पेलोड और एक लक्षित ड्रॉप फ़ोल्डर के साथ एक दुर्भावनापूर्ण RAR आर्काइव बनाएँ:

python poc.py --decoy resume.txt --payload payload.bat --drop "C:\Users\you\Documents" --rar "C:\Program Files\WinRAR\rar.exe"

श्रेय

यह भेद्यता पहली बार 18 जुलाई 2025 को ESET द्वारा वाइल्ड में देखी गई थी, और इसका श्रेय RomCom हैकिंग समूह को दिया जाता है।
RomCom की रणनीतियों के बारे में अधिक जानकारी के लिए, SOCRadar Threat Actor Intelligence देखें।

`--decoy`	डिकॉय फ़ाइल का पथ (मौजूदा या बनाई जाएगी)	हाँ	-
`--payload`	हानिरहित पेलोड फ़ाइल का पथ (मौजूदा या बनाई जाएगी)	हाँ	-
`--drop`	हानिरहित फ़ोल्डर का पूर्ण पथ (जैसे, `C:\Users\you\Documents`)	हाँ	-
`--rar`	`rar.exe` का पथ (छोड़ने पर स्वतः खोजा जाता है)	नहीं	स्वतः खोजा गया
`--out`	आउटपुट RAR फ़ाइलनाम	नहीं	`cve-2025-8088-sxy-poc.rar`
`--workdir`	कार्यशील निर्देशिका	नहीं	वर्तमान निर्देशिका (`.`)
`--placeholder_len`	ADS प्लेसहोल्डर की लंबाई (स्वचालित: ≥ max(len(injected), 128))	नहीं	स्वतः गणना की गई
`--max_up`	उपसर्ग में जोड़े जाने वाले `..` खंडों की संख्या	नहीं	16
`--base_out`	मध्यवर्ती बेस RAR के लिए नाम	नहीं	`<out>.base.rar`

CVE-2025-8088-WinRAR-Proof-of-Concept-PoC-Exploit-

सबसे लोकप्रिय