CVE-2025-6218-WinRAR-디렉토리-트래버설-RCE

CVE-2025-6218은 WinRAR의 디렉토리 트래버설 취약점으로, 사용자가 악의적으로 조작된 .rar 아카이브를 추출할 때 공격자가 의도된 추출 디렉토리 외부에 파일을 배치할 수 있게 합니다. 이 결함을 악용하면 공격자가 민감한 위치에 악성 파일을 드롭할 수 있으며, 해당 파일이 시스템이나 사용자에 의해 실행될 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.

PoC

---

영향을 받는 버전

WinRAR 버전 ≤ 7.11이 취약합니다.
버전 ≥ 7.12 Beta 1에는 이 문제를 완화하는 패치가 포함되어 있습니다.
항상 설치된 WinRAR의 버전을 확인하십시오(WinRAR.exe --version 사용).

디렉토리 트래버설 결함이 위험한 이유

디렉토리 트래버설 취약점은 공격자가 파일 경로를 조작하여 의도하지 않은 위치에 파일을 쓰는 것을 허용합니다. WinRAR의 맥락에서 이는 C:\Temp에 추출되어야 할 파일이 Windows 시작 폴더(C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup)와 같은 민감한 디렉토리에 대신 배치될 수 있음을 의미합니다. 악성 실행 파일이나 스크립트가 이러한 위치에 배치되면 자동으로 실행되어 공격자가 피해자의 시스템을 제어할 수 있게 됩니다.

실제 영향

공격자는 다음을 수행할 수 있습니다:

시스템 부팅 시 코드를 실행하기 위해 시작 폴더에 악성 스크립트(예: .bat 파일)를 드롭합니다.
C:\Windows\System32와 같은 디렉토리의 중요 시스템 파일을 덮어써 시스템 기능을 방해하거나 권한을 상승시킵니다.
사용자 모르게 랜섬웨어, 스파이웨어 또는 백도어와 같은 페이로드를 전달합니다.
이것을 사회공학(예: 사용자가 악성 아카이브를 추출하도록 속이는 것)과 결합하여 RCE를 달성할 수 있습니다.

2. 근본 원인 설명

WinRAR이 파일 경로를 적절히 검증하지 못하는 방식

취약점은 WinRAR이 .rar 아카이브에 저장된 파일 경로를 제대로 검증하고 삭제(sanitize)하지 못하는 데서 비롯됩니다. 파일을 추출할 때 WinRAR은 ..\ 또는 ../../와 같은 경로 트래버설 시퀀스를 충분히 확인하지 않고 아카이브의 파일 경로 메타데이터를 신뢰합니다. 이로 인해 공격자는 파일 경로가 의도된 추출 디렉토리 외부를 가리키는 아카이브를 제작할 수 있습니다.

`..\..\..\` 시퀀스가 추출 프로세스를 속이는 방법

경로 트래버설 기본: 파일 경로의 ..\ 시퀀스는 시스템에 한 디렉토리 위로 이동하도록 지시합니다. 여러 개의 ..\ 시퀀스(예: ..\..\..\..\..)를 연결함으로써 공격자는 추출 디렉토리(예: C:\Temp\Test)에서 드라이브 루트(C:\)로 이동한 다음 원하는 위치(예: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup)로 이동할 수 있습니다.
WinRAR의 결함: 취약한 WinRAR 버전(≤ 7.11)은 이러한 시퀀스를 차단하거나 삭제하지 않아 추출 과정에서 추출 지점을 기준으로 임의의 위치에 파일을 배치할 수 있습니다.

파일이 민감한 위치에 배치될 수 있는 이유

시작 폴더: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup에 배치된 파일은 사용자가 로그인할 때 자동으로 실행됩니다. 여기 있는 악성 .bat 또는 .exe 파일은 임의의 명령을 실행할 수 있습니다.
System32 또는 기타 민감한 디렉토리: C:\Windows\System32의 파일을 덮어쓰거나 추가하면 시스템 무결성이 손상되거나 권한 상승이 가능해집니다.
사용자 상호작용 불필요: 파일이 시작 폴더와 같은 자동 실행 위치에 배치되면 추출 후 추가 사용자 조치 없이 페이로드가 실행됩니다.

시각적 다이어그램: 의도된 추출 경로 vs 실제 추출 경로

의도된 추출(안전):
- 사용자가 아카이브를 추출할 위치: C:\Temp\Test
- 아카이브에 포함된 파일: payload.bat
- 예상 결과: C:\Temp\Test\payload.bat

실제 추출(악용됨):
- 사용자가 아카이브를 추출할 위치: C:\Temp\Test
- 아카이브에 포함된 파일 경로: ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- 실제 결과: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

3. 수동 익스플로잇 가이드

이 섹션에서는 격리된 안전한 실습 환경(네트워크 연결이 없는 가상 머신)에서 CVE-2025-6218 취약점을 수동으로 재현하기 위한 단계별 지침을 제공합니다. 목표는 Windows 시작 폴더에 사용자 로그인 시 계산기(calc.exe)를 실행하는 무해한 .bat 파일을 배치하는 .rar 아카이브를 만드는 것입니다.

사전 요구사항

Windows 10이 설치되고 WinRAR 버전 ≤ 7.11이 설치된 가상 머신.
아카이브 생성을 위해 호스트 머신에 WinRAR 설치(≤ 7.11).
페이로드 생성을 위한 텍스트 편집기(예: 메모장).
안전을 위해 가상 머신에 네트워크 연결 없음.

단계별 지침

테스트 폴더 준비:
- 호스트 머신에서 exploit_test라는 폴더를 만듭니다(예: C:\exploit_test).
- 이 폴더는 아카이브에 포함될 페이로드와 폴더 구조를 담게 됩니다.
간단한 페이로드 생성:
- 메모장을 열고 다음 내용으로 새 파일을 만듭니다:
```
@echo off
start calc.exe
```
- 파일을 C:\exploit_test에 payload.bat로 저장합니다.
- 이 배치 파일은 무해하며 실행 시 Windows 계산기를 엽니다.
경로 트래버설을 위한 폴더 구조 생성:
- C:\exploit_test 안에 원하는 경로를 미러링하는 폴더 구조를 만듭니다:
```
C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
```
  <username>을 VM의 대상 사용자 이름(예: absholi7ly)으로 바꿉니다.
- payload.bat을 Startup 폴더로 이동합니다:

4. 검증

드롭된 페이로드 확인

VM에서 Windows 탐색기를 엽니다.

다음으로 이동합니다:

C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

payload.bat을 찾습니다. 있으면 디렉토리 트래버설 익스플로잇이 성공한 것입니다.
payload.bat을 메모장에서 열어 내용을 확인합니다:
```
@echo off
start calc.exe
```

파일 경로 확인

시작 폴더에서 payload.bat을 마우스 오른쪽 버튼으로 클릭하고 속성을 선택합니다.
위치 필드를 확인하여 다음 경로와 일치하는지 확인합니다:
```
C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
```
파일이 다른 위치(예: C:\payload.bat 또는 C:\Users\username\AppData\Roaming\...의 하위 폴더)에 있다면 의도한 대로 익스플로잇이 작동하지 않은 것입니다.

페이로드 실행 확인

VM에서 username 사용자로 로그아웃했다가 다시 로그인합니다.
또는 VM을 다시 시작합니다.
계산기가 자동으로 열리는지 관찰합니다.
열리지 않으면 시작 폴더에서 payload.bat을 수동으로 더블클릭하여 작동하는지 확인합니다.

CVE-2025-6218-WinRAR-Directory-Traversal-RCE

인기