sxyrxyy/cve-2025-8088-winrar-proof-of-concept-poc-exploit-CVE-2025-8088 WinRAR 개념 증명 (PoC-Exploit)
이 저장소는 CVE-2025-8088(WinRAR 7.12 이하 버전의 경로 순회 취약점)에 대한 개념 증명(PoC) 스크립트를 포함합니다.
이 PoC는 공격자가 대체 데이터 스트림(ADS) 과 조작된 아카이브 파일을 사용하여 의도된 압축 해제 디렉터리 밖에 악성 파일을 배치할 수 있는 방법을 시연합니다.
면책 조항: 이 도구는 교육 및 연구 목적으로만 제공됩니다. 시스템이나 네트워크에 해를 끼치는 데 사용하지 마십시오. 작성자는 이 스크립트로 인한 오용이나 피해에 대해 책임을 지지 않습니다.
CVE-2025-8088(CVSS 8.4)은 WinRAR의 경로 순회 취약점으로, 7.12 이하 Windows 버전과 UnRAR.dll 및 관련 휴대용 소스 코드에 영향을 줍니다.
이 결함으로 공격자는 특수하게 조작된 RAR 파일 내 ADS에 악성 페이로드를 삽입할 수 있으며, 민감한 시스템 위치(예: Windows 시작 폴더)로의 압축 해제를 가능하게 합니다.
이로 인해 시스템 재부팅 시 DLL 또는 바로가기(.lnk) 파일과 같은 악성 파일이 자동 실행될 수 있습니다.
이 익스플로잇은 RAR 아카이브 내 ADS 경로의 경로 순회 시퀀스(..) 를 활용합니다.
겉으로는 무해해 보이는 파일(예: 이력서)이 악성 ADS 항목을 숨기며, 여기에는 다음이 포함될 수 있습니다:
이 스크립트는 CVE-2025-8088 취약점을 시연하기 위해 악성 RAR 아카이브를 생성합니다.
Python과 rar.exe(WinRAR의 명령줄 도구)에 대한 액세스가 필요합니다.
rar.exe가 시스템 PATH에 있거나 --rar 인수를 사용하여 해당 경로를 지정해야 합니다.
| Argument | 설명 | 필수? | 기본값 |
|---|---|---|---|
--decoy | 디코이(유인) 파일 경로(기존 파일이거나 생성됨) | 예 | - |
--payload | 무해한 페이로드 파일 경로(기존 파일이거나 생성됨) | 예 | - |
--drop | 무해한 폴더의 절대 경로(예: C:\Users\you\Documents) | 예 | - |
--rar | rar.exe 경로(생략 시 자동 감지) | 아니요 | 자동 감지 |
--out | 출력 RAR 파일 이름 | 아니요 | cve-2025-8088-sxy-poc.rar |
--workdir | 작업 디렉터리 | 아니요 | 현재 디렉터리(.) |
--placeholder_len | ADS 자리 표시자 길이(자동: ≥ max(len(injected), 128)) | 아니요 | 자동 계산 |
--max_up | 접두사로 추가할 .. 세그먼트 수 | 아니요 | 16 |
--base_out | 중간 기본 RAR 이름 | 아니요 | <out>.base.rar |
디코이 파일, 페이로드, 대상 드롭 폴더를 사용하여 악성 RAR 아카이브를 생성하고 rar.exe 경로를 지정합니다:
python poc.py --decoy resume.txt --payload payload.bat --drop "C:\Users\you\Documents" --rar "C:\Program Files\WinRAR\rar.exe"
이 취약점은 2025년 7월 18일에 ESET에 의해 실제 환경에서 처음 발견되었으며, RomCom 해킹 그룹의 소행으로 확인되었습니다.
RomCom의 전술에 대한 자세한 내용은 SOCRadar Threat Actor Intelligence를 참조하십시오.