CVE-2025-6218-WinRAR-Directory-Traversal-RCE

CVE-2025-6218 è una vulnerabilità di directory traversal in WinRAR che consente a un attaccante di posizionare file al di fuori della directory di estrazione prevista quando un utente estrae un archivio .rar appositamente creato. Sfruttando questa falla, un attaccante può depositare file dannosi in posizioni sensibili, potenzialmente portando all'esecuzione di codice in remoto (RCE) se il file viene eseguito dal sistema o dall'utente.

Poc

Versioni Affette

• Versioni di WinRAR ≤ 7.11 sono vulnerabili.
• Le versioni ≥ 7.12 Beta 1 includono una patch per mitigare questo problema.
• Verifica sempre la versione di WinRAR installata (tramite WinRAR.exe --version).

Perché le Vulnerabilità di Directory Traversal Sono Pericolose

Le vulnerabilità di directory traversal consentono agli attaccanti di manipolare i percorsi dei file per scrivere file in posizioni non previste. Nel contesto di WinRAR, ciò significa che un file destinato a essere estratto in C:\Temp potrebbe invece essere posizionato in una directory sensibile come la cartella di avvio di Windows (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). Se un eseguibile o uno script dannoso viene posizionato in tale posizione, potrebbe essere eseguito automaticamente, concedendo all'attaccante il controllo sul sistema della vittima.

Impatto nel Mondo Reale

Un attaccante può:

• Depositare uno script dannoso (ad esempio, un file .bat) nella cartella di avvio per eseguire codice all'avvio del sistema.
• Sovrascrivere file di sistema critici in directory come C:\Windows\System32 per interrompere la funzionalità del sistema o aumentare i privilegi.
• Consegnare payload come ransomware, spyware o backdoor all'insaputa dell'utente.
• Combinare questo con tecniche di ingegneria sociale (ad esempio, convincere un utente a estrarre un archivio dannoso) per ottenere RCE.

2. Spiegazione della Causa Principale

Come WinRAR Non Riesce a Sanificare i Percorsi dei File

La vulnerabilità deriva dall'incapacità di WinRAR di convalidare e sanificare correttamente i percorsi dei file memorizzati all'interno di un archivio .rar. Durante l'estrazione dei file, WinRAR si fida dei metadati del percorso del file nell'archivio senza controllare sufficientemente sequenze di path traversal come ..\ o ../../. Ciò consente a un attaccante di creare un archivio in cui il percorso di un file punta al di fuori della directory di estrazione prevista.

Come le Sequenze ..\..\..\ Ingannano il Processo di Estrazione

• Nozioni base sul Path Traversal: La sequenza ..\ in un percorso di file indica al sistema di salire di un livello di directory. Concatenando più sequenze ..\ (ad esempio, ..\..\..\..\..), un attaccante può navigare dalla directory di estrazione (ad esempio, C:\Temp\Test) alla radice dell'unità (C:\) e poi a qualsiasi posizione desiderata, come C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• Fallacia di WinRAR: Le versioni vulnerabili di WinRAR (≤ 7.11) non bloccano né sanificano queste sequenze, consentendo al processo di estrazione di posizionare file in posizioni arbitrarie rispetto al punto di estrazione.

Perché i File Possono Finire in Posizioni Sensibili

• Cartella di Avvio: I file posizionati in C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup vengono eseguiti automaticamente quando un utente effettua l'accesso. Un .bat o .exe dannoso qui può eseguire comandi arbitrari.
• System32 o Altre Directory Sensibili: Sovrascrivere o aggiungere file in C:\Windows\System32 può compromettere l'integrità del sistema o abilitare l'escalation dei privilegi.
• Nessuna Interazione dell'Utente Richiesta: Se il file viene posizionato in una posizione di auto-esecuzione come la cartella di avvio, il payload viene eseguito senza ulteriori azioni dell'utente dopo l'estrazione.

Diagramma Visivo: Percorsi di Estrazione Previsti vs. Effettivi

Estrazione Prevista (Sicura):
- Utente estrae l'archivio in: C:\Temp\Test
- L'archivio contiene il file: payload.bat
- Risultato atteso: C:\Temp\Test\payload.bat

Estrazione Effettiva (Sfruttata):
- Utente estrae l'archivio in: C:\Temp\Test
- L'archivio contiene il file con percorso: ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- Risultato effettivo: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

3. Guida allo Sfruttamento Manuale

Questa sezione fornisce istruzioni passo-passo per riprodurre manualmente la vulnerabilità CVE-2025-6218 in un ambiente di laboratorio sicuro e isolato utilizzando una macchina virtuale (VM) senza connettività di rete. L'obiettivo è creare un archivio .rar che posizioni un file .bat innocuo nella cartella di avvio di Windows, che avvia la Calcolatrice (calc.exe) all'accesso dell'utente.

Prerequisiti

• Una macchina virtuale con Windows 10 e WinRAR versione ≤ 7.11 installato.
• WinRAR installato sulla macchina host (≤ 7.11) per creare l'archivio.
• Un editor di testo (ad esempio, Blocco note) per creare il payload.
• Nessuna connettività di rete sulla VM per garantire la sicurezza.

Istruzioni Passo-Passo

1. Prepara una Cartella di Test:

   • Sulla macchina host, crea una cartella denominata exploit_test (ad esempio, C:\exploit_test).
   • Questa cartella conterrà il payload e la struttura di cartelle per l'archivio.

2. Crea un Payload Semplice:

   • Apri Blocco note e crea un nuovo file con il seguente contenuto:
     root@kitploit:~

     @echo off
     start calc.exe
     

   • Salva il file come payload.bat in C:\exploit_test.
   • Questo file batch è innocuo e aprirà la Calcolatrice di Windows quando eseguito.

3. Crea la Struttura di Cartelle per il Path Traversal:

   • All'interno di C:\exploit_test, crea una struttura di cartelle che rispecchi il percorso desiderato:
     root@kitploit:~

     C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

   • Sostituisci <username> con il nome dell'utente target sulla VM (ad esempio, absholi7ly).
   • Sposta payload.bat nella cartella :

4. Verifica

Controllo del Payload Depositato

• Apri Esplora file nella VM.
• Naviga fino a:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Cerca payload.bat. Se è presente, lo sfruttamento del directory traversal è riuscito.
• Apri payload.bat con Blocco note per verificarne il contenuto:
  root@kitploit:~

  @echo off
  start calc.exe
  

Conferma del Percorso del File

• Clicca con il tasto destro su payload.bat nella cartella di avvio e seleziona Proprietà.
• Controlla il campo Posizione per confermare che corrisponda a:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Se il file si trova altrove (ad esempio, C:\payload.bat o in una sottocartella come C:\Users\username\AppData\Roaming\...), lo sfruttamento non ha funzionato come previsto.

Conferma dell'Esecuzione del Payload

• Disconnetti e riconnettiti alla VM come utente username.
• In alternativa, riavvia la VM.
• Osserva se la Calcolatrice si apre automaticamente.
• Se non si apre, fai doppio clic manualmente su payload.bat nella cartella di avvio per verificare che funzioni.

5. Menzione di Automazione Opzionale

Per i ricercatori che desiderano semplificare il processo, i passaggi manuali descritti sopra possono essere automatizzati utilizzando uno script Python.