CVE-2025-6218-WinRAR-Directory-Traversal-RCE

CVE-2025-6218 è una vulnerabilità di directory traversal in WinRAR che consente a un attaccante di posizionare file al di fuori della directory di estrazione prevista quando un utente estrae un archivio .rar appositamente creato. Sfruttando questa falla, un attaccante può depositare file dannosi in posizioni sensibili, potenzialmente portando all'esecuzione di codice in remoto (RCE) se il file viene eseguito dal sistema o dall'utente.

---

Poc

---

Versioni Affette

• Versioni di WinRAR ≤ 7.11 sono vulnerabili.
• Le versioni ≥ 7.12 Beta 1 includono una patch per mitigare questo problema.
• Verifica sempre la versione di WinRAR installata (tramite WinRAR.exe --version).

Perché le Vulnerabilità di Directory Traversal Sono Pericolose

Le vulnerabilità di directory traversal consentono agli attaccanti di manipolare i percorsi dei file per scrivere file in posizioni non previste. Nel contesto di WinRAR, ciò significa che un file destinato a essere estratto in C:\Temp potrebbe invece essere posizionato in una directory sensibile come la cartella di avvio di Windows (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). Se un eseguibile o uno script dannoso viene posizionato in tale posizione, potrebbe essere eseguito automaticamente, concedendo all'attaccante il controllo sul sistema della vittima.

Impatto nel Mondo Reale

Un attaccante può:

• Depositare uno script dannoso (ad esempio, un file .bat) nella cartella di avvio per eseguire codice all'avvio del sistema.
• Sovrascrivere file di sistema critici in directory come C:\Windows\System32 per interrompere la funzionalità del sistema o aumentare i privilegi.
• Consegnare payload come ransomware, spyware o backdoor all'insaputa dell'utente.
• Combinare questo con tecniche di ingegneria sociale (ad esempio, convincere un utente a estrarre un archivio dannoso) per ottenere RCE.

---

2. Spiegazione della Causa Principale

Come WinRAR Non Riesce a Sanificare i Percorsi dei File

La vulnerabilità deriva dall'incapacità di WinRAR di convalidare e sanificare correttamente i percorsi dei file memorizzati all'interno di un archivio .rar. Durante l'estrazione dei file, WinRAR si fida dei metadati del percorso del file nell'archivio senza controllare sufficientemente sequenze di path traversal come ..\ o ../../. Ciò consente a un attaccante di creare un archivio in cui il percorso di un file punta al di fuori della directory di estrazione prevista.

Come le Sequenze ..\..\..\ Ingannano il Processo di Estrazione

• Nozioni base sul Path Traversal: La sequenza ..\ in un percorso di file indica al sistema di salire di un livello di directory. Concatenando più sequenze ..\ (ad esempio, ..\..\..\..\..), un attaccante può navigare dalla directory di estrazione (ad esempio, C:\Temp\Test) alla radice dell'unità (C:\) e poi a qualsiasi posizione desiderata, come C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• Fallacia di WinRAR: Le versioni vulnerabili di WinRAR (≤ 7.11) non bloccano né sanificano queste sequenze, consentendo al processo di estrazione di posizionare file in posizioni arbitrarie rispetto al punto di estrazione.

Perché i File Possono Finire in Posizioni Sensibili

• Cartella di Avvio: I file posizionati in C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup vengono eseguiti automaticamente quando un utente effettua l'accesso. Un .bat o .exe dannoso qui può eseguire comandi arbitrari.
• System32 o Altre Directory Sensibili: Sovrascrivere o aggiungere file in C:\Windows\System32 può compromettere l'integrità del sistema o abilitare l'escalation dei privilegi.
• Nessuna Interazione dell'Utente Richiesta: Se il file viene posizionato in una posizione di auto-esecuzione come la cartella di avvio, il payload viene eseguito senza ulteriori azioni dell'utente dopo l'estrazione.

Diagramma Visivo: Percorsi di Estrazione Previsti vs. Effettivi

Estrazione Prevista (Sicura):
- Utente estrae l'archivio in: C:\Temp\Test
- L'archivio contiene il file: payload.bat
- Risultato atteso: C:\Temp\Test\payload.bat

Estrazione Effettiva (Sfruttata):
- Utente estrae l'archivio in: C:\Temp\Test
- L'archivio contiene il file con percorso: ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- Risultato effettivo: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

---

3. Guida allo Sfruttamento Manuale

Questa sezione fornisce istruzioni passo-passo per riprodurre manualmente la vulnerabilità CVE-2025-6218 in un ambiente di laboratorio sicuro e isolato utilizzando una macchina virtuale (VM) senza connettività di rete. L'obiettivo è creare un archivio .rar che posizioni un file .bat innocuo nella cartella di avvio di Windows, che avvia la Calcolatrice (calc.exe) all'accesso dell'utente.

Prerequisiti

• Una macchina virtuale con Windows 10 e WinRAR versione ≤ 7.11 installato.
• WinRAR installato sulla macchina host (≤ 7.11) per creare l'archivio.
• Un editor di testo (ad esempio, Blocco note) per creare il payload.
• Nessuna connettività di rete sulla VM per garantire la sicurezza.

Istruzioni Passo-Passo

1. Prepara una Cartella di Test:

   • Sulla macchina host, crea una cartella denominata exploit_test (ad esempio, C:\exploit_test).
   • Questa cartella conterrà il payload e la struttura di cartelle per l'archivio.

2. Crea un Payload Semplice:

   • Apri Blocco note e crea un nuovo file con il seguente contenuto:

     @echo off
     start calc.exe
     

   • Salva il file come payload.bat in C:\exploit_test.
   • Questo file batch è innocuo e aprirà la Calcolatrice di Windows quando eseguito.

3. Crea la Struttura di Cartelle per il Path Traversal:

   • All'interno di C:\exploit_test, crea una struttura di cartelle che rispecchi il percorso desiderato:

     C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

   • Sostituisci <username> con il nome dell'utente target sulla VM (ad esempio, absholi7ly).
   • Sposta payload.bat nella cartella Startup:

     C:\exploit_test\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
     

4. Crea l'Archivio RAR Dannoso Usando WinRAR:

   • Apri WinRAR (versione ≤ 7.11) sulla macchina host.
   • Naviga fino a C:\exploit_test.
   • Seleziona la cartella Users (che contiene l'intero percorso fino a payload.bat).
   • Clicca con il tasto destro e seleziona Aggiungi all'archivio....
   • Nella finestra di dialogo di WinRAR:
     • Imposta il nome dell'archivio su exploit.rar (ad esempio, C:\exploit_test\exploit.rar).
     • Scegli RAR come formato dell'archivio.
     • Imposta il Metodo di compressione su Archivia o Normale.
     • Assicurati che nessuna opzione avanzata (ad esempio, protezione con password) sia abilitata.
   • Clicca su OK per creare l'archivio.
   • Verifica il contenuto dell'archivio aprendo exploit.rar in WinRAR. Dovresti vedere:

     Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
     

5. Trasferisci l'Archivio sulla VM:

   • Copia exploit.rar in una cartella condivisa o su un'unità USB accessibile dalla VM.
   • Nella VM, sposta exploit.rar nella radice dell'unità C:\:

     C:\exploit.rar