ignis-sec/cve-2025-6218Una semplice prova di concetto per WinRAR Path Traversal | RCE | CVE-2025-6218
Maggiori informazioni:
Vulnerabilità di esecuzione di codice remoto tramite directory traversal in RARLAB WinRAR. Questa vulnerabilità consente a un attaccante remoto di eseguire codice arbitrario sulle installazioni interessate di RARLAB WinRAR. Per sfruttare questa vulnerabilità è richiesta l'interazione dell'utente, in quanto la vittima deve visitare una pagina dannosa o aprire un file dannoso.
Il difetto specifico risiede nella gestione dei percorsi dei file all'interno dei file di archivio. Un percorso di file appositamente modificato può indurre il processo ad attraversare directory indesiderate. Un attaccante può sfruttare questa vulnerabilità per eseguire codice nel contesto dell'utente corrente. Era ZDI-CAN-27198.
Pubblicato 2025-06-21 00:09:03 Aggiornato 2025-06-23 20:16:22 Fonte Zero Day Initiative
Categoria della vulnerabilità: Directory traversal | Esecuzione di codice
Una prova di concetto molto minimale e semplice per la vulnerabilità di path traversal di WinRAR CVE-2025-6218. (Incluso anche: il mio set di strumenti per sperimentare con il formato RAR per il test delle vulnerabilità)
La catena da path traversal a RCE non è inclusa nella POC, ma la scrittura arbitraria di file per arrivare alla RCE su Windows è banale.
Crea la prova di concetto:
$ python3 cve-2025-6218.py
Se estrai questo archivio, test.txt verrà estratto un livello fuori dalla directory corrente.
Il problema deriva da un conflitto specifico tra il modo in cui gli spazi bianchi vengono sanitizzati e il modo in cui i path traversal vengono scansionati nell'eseguibile di WinRAR fino alla versione 7.11:
Una versione un po' semplificata e ripulita:
void file_name_check(char *a1){
cur_filename = a1;
j = 0;
cur_pos = 0;
if ( *(a1 + 4) > 0 )
{
offset = 0;
while ( 1 )
{
if ( (cur_pos + 1) == cur_filename[2] )
goto BREAK;
str = cur_filename;
if ( cur_filename[3] > 7 )
str = *cur_filename;
if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
{
BREAK:
if ( cur_pos >= 0 )
break;
}
LOOP_START:
++cur_pos;
++offset;
if ( cur_pos >= *(cur_filename + 4) )
goto LABEL_47;
}
while ( 1 )
{
if ( str[offset] != '.' )
{
if ( str[offset] != ' ' )
goto LOOP_START;
}
if ( !cur_pos )
{
if ( str[offset] == ' ' )
{
str[offset] = '_';
goto LOOP_START;
}
}
if ( str[offset] == '.' )
{
if ( !cur_pos )
goto LOOP_START;
if ( str[offset - 1] == '\\' || str[offset - 1] == '/' )
goto LOOP_START;
if ( cur_pos == 2 )
{
if ( is_safe_character(cur_filename) )
goto LOOP_START;
}
else if ( cur_pos < 1 )
{
goto DELETE;
}
if ( str[offset - 1] == '.' )
{
if ( cur_pos == 1 )
goto LOOP_START;
if ( str[offset - 2] == '\\' || str[offset - 2] == '/' || cur_pos == 3 && is_safe_character(cur_filename) )
goto LOOP_START;
}
}
DELETE:
delete_char(cur_filename, cur_pos, 1u);
--offset;
if ( --cur_pos < 0 )
goto LOOP_START;
}
}
//...
}
Dopo la 7.12:
void __fastcall file_name_check(char **a1){
cur_filename = a1;
j = 0;
if ( *(a1 + 4) > 0 )
{
offset = 0;
fname_index = 1;
do
{
if ( fname_index == cur_filename[2] )
goto HANDLE_DIR_NEXT;
str = cur_filename;
if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
{
HANDLE_DIR_NEXT:
if ( offset >= 0 )
{
if ( str[offset] == '.' )
goto FILENAME_BEGINS;
if ( str[offset] == ' ' )
{
FILENAME_BEGINS:
if ( str[offset] != '.' )
goto CONT;
if ( offset )
{
if ( str[offset - 1] != '\\'
&& str[offset - 1] != '/'
&& (offset != 2 || !is_safe_character(cur_filename)) )
{
if ( str[offset - 1] != '.' )
goto CONT;
if ( offset != 1 )
{
if ( str[offset - 2] != '\\'
&& str[offset - 2] != '/'
&& (offset != 3 || !is_safe_character(cur_filename)) )
{
CONT:
str[offset] = '_';
}
}
}
}
}
}
}
++j;
++offset;
++fname_index;
}
while ( j < *(cur_filename + 4) );
}
//...
}