CVE-2025-6218 | ZDI-CAN-27198 | ZDI-25-409 - WinRAR Path Traversal -> Execução Remota de Código (RCE)

Prova de Conceito

Mais informações:

Vulnerabilidade de Execução Remota de Código por Travessia de Diretórios no RARLAB WinRAR. Esta vulnerabilidade permite que atacantes remotos executem código arbitrário em instalações afetadas do RARLAB WinRAR. É necessária interação do usuário para explorar esta vulnerabilidade, onde o alvo deve visitar uma página maliciosa ou abrir um arquivo malicioso.

A falha específica reside no tratamento de caminhos de arquivos dentro de arquivos compactados. Um caminho de arquivo malicioso pode fazer com que o processo percorra diretórios não intencionados. Um atacante pode aproveitar esta vulnerabilidade para executar código no contexto do usuário atual. Era ZDI-CAN-27198.

Publicado em 2025-06-21 00:09:03 Atualizado em 2025-06-23 20:16:22 Fonte: Zero Day Initiative

Categoria da vulnerabilidade: Directory traversal | Executar código

Uma prova de conceito muito mínima e simples para a vulnerabilidade de path traversal no WinRAR CVE-2025-6218. (Também incluído: meu conjunto de ferramentas para brincar com o formato RAR para testes de vulnerabilidade)

A cadeia de path traversal para RCE não está incluída no POC, mas a escrita arbitrária de arquivos para RCE no Windows é trivial.

Crie a prova de conceito:

$ python3 cve-2025-6218.py

Se você extrair este arquivo, o test.txt será extraído um nível acima do diretório atual.

O problema decorre de um conflito específico entre como os espaços em branco são sanitizados e como as travessias de caminho são escaneadas no executável do WinRAR até a versão 7.11:

Uma versão um pouco simplificada e limpa:

void file_name_check(char *a1){
  cur_filename = a1;
  j = 0;
  cur_pos = 0;
  if ( *(a1 + 4) > 0 )
  {
    offset = 0;
    while ( 1 )
    {
      if ( (cur_pos + 1) == cur_filename[2] )
        goto BREAK;
      str = cur_filename;
      if ( cur_filename[3] > 7 )
        str = *cur_filename;
      if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
      {
BREAK:
        if ( cur_pos >= 0 )
          break;
      }
LOOP_START:
      ++cur_pos;
      ++offset;
      if ( cur_pos >= *(cur_filename + 4) )
        goto LABEL_47;
    }
    while ( 1 )
    {
      if ( str[offset] != '.' )
      {
        if ( str[offset] != ' ' )
          goto LOOP_START;
      }
      if ( !cur_pos )
      {
        if ( str[offset] == ' ' )
        {
          str[offset] = '_';
          goto LOOP_START;
        }
      }
      if ( str[offset] == '.' )
      {
        if ( !cur_pos )
          goto LOOP_START;
        if ( str[offset - 1] == '\\' || str[offset - 1] == '/' )
          goto LOOP_START;
        if ( cur_pos == 2 )
        {
          if ( is_safe_character(cur_filename) )
            goto LOOP_START;
        }
        else if ( cur_pos < 1 )
        {
          goto DELETE;
        }
        if ( str[offset - 1] == '.' )
        {
          if ( cur_pos == 1 )
            goto LOOP_START;
          if ( str[offset - 2] == '\\' || str[offset - 2] == '/' || cur_pos == 3 && is_safe_character(cur_filename) )
            goto LOOP_START;
        }
      }
DELETE:
      delete_char(cur_filename, cur_pos, 1u);
      --offset;
      if ( --cur_pos < 0 )
        goto LOOP_START;
    }
  }

//...
}

Após 7.12:

void __fastcall file_name_check(char **a1){
  cur_filename = a1;
  j = 0;
  if ( *(a1 + 4) > 0 )
  {
    offset = 0;
    fname_index = 1;
    do
    {
      if ( fname_index == cur_filename[2] )
        goto HANDLE_DIR_NEXT;
      str = cur_filename;
      if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
      {
HANDLE_DIR_NEXT:
        if ( offset >= 0 )
        {
          if ( str[offset] == '.' )
            goto FILENAME_BEGINS;
          if ( str[offset] == ' ' )
          {
FILENAME_BEGINS:
            if ( str[offset] != '.' )
              goto CONT;
            if ( offset )
            {
              if ( str[offset - 1] != '\\'
                && str[offset - 1] != '/'
                && (offset != 2 || !is_safe_character(cur_filename)) )
              {
                if ( str[offset - 1] != '.' )
                  goto CONT;
                if ( offset != 1 )
                {
                  if ( str[offset - 2] != '\\'
                    && str[offset - 2] != '/'
                    && (offset != 3 || !is_safe_character(cur_filename)) )
                  {
CONT:
                    str[offset] = '_';
                  }
                }
              }
            }
          }
        }
      }
      ++j;
      ++offset;
      ++fname_index;
    }
    while ( j < *(cur_filename + 4) );
  }

//...

}

CVE-2025-6218

Mais Populares

CVE-2025-6218 | ZDI-CAN-27198 | ZDI-25-409 - WinRAR Path Traversal -> Execução Remota de Código (RCE)

Prova de Conceito