セキュリティ分析: WinRAR のパストラバーサル悪用（CVE-2025-8088）

注記: 開発中のリポジトリです。このプロジェクトには、追加の分析、分析用スクリプト（非エクスプロイト）、プレゼンテーション資料などが今後追加される予定です。新しいバージョンは、利用可能になり次第公開されます。

このリポジトリは、WinRAR（CVE-2025-8088）の ディレクトリトラバーサル（CWE-35）脆弱性に関する分析、調査プロセス、および概念実証（PoC）を文書化したものです。

この欠陥は Windows 版 WinRAR の 7.13 より前のバージョンに影響し、深刻度は高（Base Score 8.8）に分類されています。

I. 感染プロセス: ZIPファイルから任意コード実行へ

CVE-2025-8088 の成功は、被害者に必要な操作の単純さにあります:悪意のあるファイルを解凍するだけでコード実行が引き起こされます。

シンプルな攻撃ベクトル

1. ソーシャルエンジニアリング（フィッシング）: RomCom や Paper Werewolf などの脅威グループは、スピアフィッシングキャンペーンでこの脆弱性を悪用しました。
2. 囮（デコイ）: 攻撃者は、履歴書や財務レポートなどの正規の文書を装った悪意のある RAR ファイルを送信しました。
3. ユーザーの操作: 被害者は、コンテンツにアクセスしようとして、脆弱性のあるバージョンの WinRAR（≤ 7.12）で悪意のある RAR ファイルを展開します。
4. 隠れた悪用: 展開中、ファイルは期待された宛先ディレクトリに配置される代わりに、パストラバーサルの欠陥により、WinRAR はペイロード（悪意のあるコード）をオペレーティングシステムの重要なフォルダに書き込むことを強いられます。

結果: オペレーティングシステムへの永続化

エクスプロイトは、Windows のスタートアップフォルダを主な標的としています（AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\）。

• 脆弱性のある WinRAR がファイルを解凍すると、ペイロードはスタートアップフォルダに配置されます。
• 次回ユーザーがログインしたとき（再起動またはログアウト後）、ペイロードは自動的に実行され、永続化が保証されます。

このパターンは、RomCom などの脅威グループによって、侵害されたコンピュータへの完全なアクセスを許可するバックドアを展開するために使用されました。

II. 悪用のための調査プロセスと技術分析

堅牢な概念実証の開発には、RAR 形式のバイナリ構造と Windows オペレーティングシステムの特異性に関する詳細な調査が必要です。

1. RAR 5.0 ヘッダーの操作

この脆弱性は、RAR ファイルのヘッダーを操作することで悪用されます。攻撃者は単にファイル名を変更するだけでは済みません。ファイル構造に格納される悪意のあるパスを WinRAR に受け入れさせなければならないのです。

• ファイル構造: 調査には、File header や Service header などのデータブロックがどのようにフォーマットされるかを理解する必要があります。ファイルヘッダー内の Name length フィールドと Name フィールド（パスを含む）が変更されます。
• バイナリパッチ: エクスプロイトスクリプトは、パストラバーサルシーケンス（..\..\..\）を注入するために、RAR ヘッダーにパッチを適用します。
• ファイルの整合性: 変更されたファイルが WinRAR にとって有効に見えるようにするには、スクリプトが CRC チェックサム（Cyclic Redundancy Checksums）を再計算する必要があります。この種のバイナリ操作は、バイトをパックされたバイナリデータとして解釈するために使用される Python の struct などのモジュールで頻繁に実行されます。

2. 多深度トラバーサル戦略

調査により、悪用における大きな課題は、展開先の正確なディレクトリ（デスクトップ、ダウンロードなど）が不明確であることであると判明しました。

• 調査による解決策: 多深度トラバーサル戦略が開発されました。
• 仕組み: エクスプロイトは複数の囮ファイル（例: File.txt ファイル 20 個）を作成します。各ファイルは、異なる数の親ディレクトリを遡るように設定されています（例: ..\Startup\payload.bat、次に ..\..\Startup\payload.bat、最大 20 深度まで）。
• 利点: この冗長性により、被害者がファイルを展開するディレクトリの深さに関係なく、少なくとも 1 つのペイロードが固定の宛先（Windows のスタートアップフォルダ）に到達することが保証されます。

3. 代替データストリーム（ADS）によるステルス性

ペイロードをステルスに組み込むために、この調査では Windows の NTFS ファイルシステムに固有の機能である**代替データストリーム（ADS）**を利用します。

• ペイロード（バッチスクリプトまたは実行可能ファイル）は、ADS を介して囮ファイル（プロフェッショナルな PDF など）に添付されます。
• ADS と RELATIVE_DROP_PATH などの Windows 固有のパスの使用が、エクスプロイトの生成に Windows 環境が必要となる主な理由です。

III. 防御の緩和策

CVE-2025-8088 の脆弱性は活発に悪用されており（in the wild）、CISA の KEV（Known Exploited Vulnerabilities）カタログに掲載されています。

悪用は古いソフトウェアに依存するため、最も重要な防御はアップデートです:

• WinRAR をバージョン 7.13 以降にアップデートしてください。
• 信頼できないソースからのファイルの展開を無効にしてください。
• セキュリティログを監視して、Windows のスタートアップフォルダへの不正な書き込みを検出してください。

---

調査のたとえ: RAR ファイルを郵便小包だと考えてください。パストラバーサルは、配達先住所に「差出人へ返送」コマンド（../）を繰り返し記入するようなものです。技術調査では、小包のラベル（RAR ヘッダー）のどの部分を改ざんする必要があるのか、そして、郵便局（WinRAR）がどこから配送を始めても荷物が金庫（スタートアップフォルダ）に届けられるようにするには「返送」コマンドがいくつ必要か（多深度戦略）を正確に解明することが含まれていました。「荷物を受け取る」（解凍する）という単純な操作だけで感染が保証されます。