CVE-2025-6218-WinRAR-Directory-Traversal-RCE

CVE-2025-6218 é uma vulnerabilidade de travessia de diretório no WinRAR que permite a um atacante colocar arquivos fora do diretório de extração pretendido quando um usuário extrai um arquivo .rar especialmente criado. Ao explorar essa falha, um atacante pode depositar arquivos maliciosos em locais sensíveis, potencialmente levando à execução remota de código (RCE) se o arquivo for executado pelo sistema ou pelo usuário.

---

Poc

---

Versões Afetadas

• Versões do WinRAR ≤ 7.11 são vulneráveis.
• Versões ≥ 7.12 Beta 1 incluem um patch para mitigar esse problema.
• Sempre verifique a versão do WinRAR instalado (via WinRAR.exe --version) .

Por Que Falhas de Travessia de Diretório São Perigosas

Vulnerabilidades de travessia de diretório permitem que atacantes manipulem caminhos de arquivo para gravar arquivos em locais não pretendidos. No contexto do WinRAR, isso significa que um arquivo destinado a ser extraído para C:\Temp poderia, em vez disso, ser colocado em um diretório sensível como a pasta de Inicialização do Windows (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). Se um executável ou script malicioso for colocado em tal local, ele poderia ser executado automaticamente, concedendo ao atacante controle sobre o sistema da vítima.

Impacto no Mundo Real

Um atacante pode:

• Depositar um script malicioso (por exemplo, um arquivo .bat) na pasta de Inicialização para executar código na inicialização do sistema.
• Sobrescrever arquivos críticos do sistema em diretórios como C:\Windows\System32 para interromper a funcionalidade do sistema ou escalar privilégios.
• Entregar payloads como ransomware, spyware ou backdoors sem o conhecimento do usuário.
• Combinar isso com engenharia social (por exemplo, enganar um usuário para extrair um arquivo malicioso) para alcançar RCE.

---

2. Explicação da Causa Raiz

Como o WinRAR Falha em Sanitizar Caminhos de Arquivo

A vulnerabilidade decorre da falha do WinRAR em validar e sanitizar adequadamente os caminhos de arquivo armazenados em um arquivo .rar. Ao extrair arquivos, o WinRAR confia nos metadados de caminho do arquivo contidos no arquivo sem verificar suficientemente sequências de travessia de caminho como ..\ ou ../../. Isso permite que um atacante crie um arquivo compactado em que o caminho de um arquivo aponte para fora do diretório de extração pretendido.

Como Sequências ..\..\..\ Enganam o Processo de Extração

• Fundamentos da Travessia de Caminho: A sequência ..\ em um caminho de arquivo instrui o sistema a subir um nível de diretório. Ao encadear múltiplas sequências ..\ (por exemplo, ..\..\..\..\..), um atacante pode navegar do diretório de extração (por exemplo, C:\Temp\Test) até a raiz da unidade (C:\) e então para qualquer local desejado, como C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• Falha do WinRAR: Versões vulneráveis do WinRAR (≤ 7.11) não bloqueiam nem sanitizam essas sequências, permitindo que o processo de extração coloque arquivos em locais arbitrários relativos ao ponto de extração.

Por Que Arquivos Podem Parar em Locais Sensíveis

• Pasta de Inicialização: Arquivos colocados em C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup são executados automaticamente quando um usuário faz login. Um arquivo .bat ou .exe malicioso aqui pode executar comandos arbitrários.
• System32 ou Outros Diretórios Sensíveis: Sobrescrever ou adicionar arquivos em C:\Windows\System32 pode comprometer a integridade do sistema ou permitir escalonamento de privilégios.
• Nenhuma Interação do Usuário Necessária: Se o arquivo for colocado em um local de execução automática como a pasta de Inicialização, o payload será executado sem ação adicional do usuário após a extração.

Diagrama Visual: Caminhos de Extração Pretendidos vs. Reais

Intended Extraction (Safe):
- User extracts archive to: C:\Temp\Test
- Archive contains file: payload.bat
- Expected result: C:\Temp\Test\payload.bat

Actual Extraction (Exploited):
- User extracts archive to: C:\Temp\Test
- Archive contains file with path: ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- Actual result: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

---

3. Guia de Exploração Manual

Esta seção fornece instruções passo a passo para reproduzir manualmente a vulnerabilidade CVE-2025-6218 em um ambiente de laboratório seguro e isolado usando uma máquina virtual (VM) sem conectividade de rede. O objetivo é criar um arquivo .rar que coloque um arquivo .bat inofensivo na pasta de Inicialização do Windows, que abre a Calculadora (calc.exe) no login do usuário.

Pré-requisitos

• Uma máquina virtual executando Windows 10 com WinRAR versão ≤ 7.11 instalado.
• WinRAR instalado na sua máquina host (≤ 7.11) para criar o arquivo.
• Um editor de texto (por exemplo, Bloco de Notas) para criar o payload.
• Nenhuma conectividade de rede na VM para garantir a segurança.

Instruções Passo a Passo

1. Prepare uma Pasta de Teste:

   • Na sua máquina host, crie uma pasta chamada exploit_test (por exemplo, C:\exploit_test).
   • Esta pasta conterá o payload e a estrutura de pastas para o arquivo.

2. Crie um Payload Simples:

   • Abra o Bloco de Notas e crie um novo arquivo com o seguinte conteúdo:

     @echo off
     start calc.exe
     

   • Salve o arquivo como payload.bat em C:\exploit_test.
   • Este arquivo em lote é inofensivo e abrirá a Calculadora do Windows quando executado.

3. Crie a Estrutura de Pastas para a Travessia de Caminho:

   • Dentro de C:\exploit_test, crie uma estrutura de pastas que espelhe o caminho desejado:

     C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

     Substitua <username> pelo nome do usuário alvo na VM (por exemplo, absholi7ly).
   • Mova payload.bat para a pasta Startup:

     C:\exploit_test\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
     

4. Crie o Arquivo RAR Malicioso Usando o WinRAR:

   • Abra o WinRAR (versão ≤ 7.11) na sua máquina host.
   • Navegue até C:\exploit_test.
   • Selecione a pasta Users (que contém o caminho completo para payload.bat).
   • Clique com o botão direito e selecione Adicionar ao arquivo....
   • No diálogo do WinRAR:
     • Defina o nome do arquivo como exploit.rar (por exemplo, C:\exploit_test\exploit.rar).
     • Escolha RAR como o formato do arquivo.
     • Defina o Método de compressão para Store ou Normal.
     • Certifique-se de que nenhuma opção avançada (por exemplo, proteção por senha) esteja habilitada.
   • Clique em OK para criar o arquivo.
   • Verifique o conteúdo do arquivo abrindo exploit.rar no WinRAR. Você deve ver:

     Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
     

5. Transfira o Arquivo para a VM:

   • Copie exploit.rar para uma pasta compartilhada ou unidade USB acessível pela VM.
   • Na VM, mova exploit.rar para a raiz da unidade C:\:

     C:\exploit.rar
     

6. Extraia o Arquivo na VM:

   • Na VM, abra o WinRAR (versão ≤ 7.11).
   • Navegue até C:\.
   • Clique com o botão direito em exploit.rar e selecione Extrair aqui.
   • Isso deve tentar extrair payload.bat para:

     C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
     

     devido à vulnerabilidade de travessia de diretório.