CVE-2025-6218-WinRAR-Directory-Traversal-RCE

CVE-2025-6218 — это уязвимость обхода каталога (directory traversal) в WinRAR, которая позволяет атакующему размещать файлы за пределами предполагаемого каталога извлечения, когда пользователь распаковывает специально созданный архив .rar. Используя эту ошибку, атакующий может поместить вредоносные файлы в чувствительные места, что потенциально может привести к удалённому выполнению кода (RCE), если файл будет выполнен системой или пользователем.

Poc

Затронутые версии

• Версии WinRAR ≤ 7.11 уязвимы.
• Версии ≥ 7.12 Beta 1 содержат исправление, устраняющее эту проблему.
• Всегда проверяйте установленную версию WinRAR (с помощью WinRAR.exe --version).

Почему уязвимости обхода каталога опасны

Уязвимости обхода каталога позволяют атакующим манипулировать путями к файлам, чтобы записать файлы в непредусмотренные места. В контексте WinRAR это означает, что файл, предназначенный для извлечения в C:\Temp, может быть помещён в чувствительный каталог, например в папку автозагрузки Windows (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). Если вредоносный исполняемый файл или скрипт будет помещён в такое место, он может запуститься автоматически, предоставив атакующему контроль над системой жертвы.

Реальное влияние

Атакующий может:

• Поместить вредоносный скрипт (например, .bat файл) в папку автозагрузки для выполнения кода при загрузке системы.
• Перезаписать критически важные системные файлы в таких каталогах, как C:\Windows\System32, чтобы нарушить работу системы или повысить привилегии.
• Доставлять полезные нагрузки, такие как программы-вымогатели, шпионское ПО или бэкдоры, без ведома пользователя.
• Комбинировать это с методами социальной инженерии (например, обманом заставить пользователя извлечь вредоносный архив) для достижения RCE.

2. Объяснение первопричины

Как WinRAR не выполняет очистку путей к файлам

Уязвимость связана с тем, что WinRAR не проверяет и не очищает должным образом пути к файлам, хранящиеся в архиве .rar. При извлечении файлов WinRAR доверяет метаданным пути в архиве, не проверяя достаточным образом последовательности обхода каталога, такие как ..\ или ../../. Это позволяет атакующему создать архив, в котором путь файла указывает за пределы предполагаемого каталога извлечения.

Как последовательности ..\..\..\ обманывают процесс извлечения

• Основы обхода каталога: Последовательность ..\ в пути к файлу указывает системе подняться на один уровень каталога вверх. Соединяя несколько последовательностей ..\ (например, ..\..\..\..\..), атакующий может перейти из каталога извлечения (например, C:\Temp\Test) к корню диска (C:\) и затем в любое желаемое место, например C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.
• Ошибка WinRAR: Уязвимые версии WinRAR (≤ 7.11) не блокируют и не очищают эти последовательности, что позволяет процессу извлечения размещать файлы в произвольных местах относительно точки извлечения.

Почему файлы могут попадать в чувствительные места

• Папка автозагрузки: Файлы, помещённые в C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup, выполняются автоматически при входе пользователя в систему. Вредоносный .bat или .exe файл здесь может выполнять произвольные команды.
• System32 или другие чувствительные каталоги: Перезапись или добавление файлов в C:\Windows\System32 может нарушить целостность системы или позволить повышение привилегий.
• Не требуется взаимодействие с пользователем: Если файл помещается в автоматически выполняемое место, например в папку автозагрузки, полезная нагрузка запускается без дополнительных действий пользователя после извлечения.

Визуальная диаграмма: предполагаемые и фактические пути извлечения

Intended Extraction (Safe):
- User extracts archive to: C:\Temp\Test
- Archive contains file: payload.bat
- Expected result: C:\Temp\Test\payload.bat

Actual Extraction (Exploited):
- User extracts archive to: C:\Temp\Test
- Archive contains file with path: ..\..\..\..\..\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat
- Actual result: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

3. Руководство по ручной эксплуатации

В этом разделе приведены пошаговые инструкции по ручному воспроизведению уязвимости CVE-2025-6218 в безопасной изолированной лабораторной среде с использованием виртуальной машины (ВМ) без сетевого подключения. Цель — создать архив .rar, который помещает безвредный .bat файл в папку автозагрузки Windows, запускающий Калькулятор (calc.exe) при входе пользователя в систему.

Предварительные требования

• Виртуальная машина с Windows 10 и установленным WinRAR версии ≤ 7.11.
• WinRAR, установленный на вашем хост-компьютере (≤ 7.11), для создания архива.
• Текстовый редактор (например, Блокнот) для создания полезной нагрузки.
• Отсутствие сетевого подключения на ВМ для обеспечения безопасности.

Пошаговые инструкции

1. Подготовьте тестовую папку:

   • На хост-компьютере создайте папку с именем exploit_test (например, C:\exploit_test).
   • Эта папка будет содержать полезную нагрузку и структуру папок для архива.

2. Создайте простую полезную нагрузку:

   • Откройте Блокнот и создайте новый файл со следующим содержимым:
     root@kitploit:~

     @echo off
     start calc.exe
     

   • Сохраните файл как payload.bat в C:\exploit_test.
   • Этот пакетный файл безвреден и откроет Калькулятор Windows при выполнении.

3. Создайте структуру папок для обхода пути:

   • Внутри C:\exploit_test создайте структуру папок, повторяющую желаемый путь:
     root@kitploit:~

     C:\exploit_test\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
     

     Замените <username> на имя целевого пользователя на ВМ (например, absholi7ly).
   • Переместите payload.bat в папку :

4. Проверка

Проверка размещённой полезной нагрузки

• Откройте Проводник Windows на ВМ.
• Перейдите в:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Найдите payload.bat. Если он присутствует, эксплойт обхода каталога сработал.
• Откройте payload.bat в Блокноте, чтобы проверить его содержимое:
  root@kitploit:~

  @echo off
  start calc.exe
  

Подтверждение пути к файлу

• Щёлкните правой кнопкой мыши по payload.bat в папке автозагрузки и выберите Свойства.
• Проверьте поле Расположение, чтобы убедиться, что оно соответствует:
  root@kitploit:~

  C:\Users\username\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
  

• Если файл находится в другом месте (например, C:\payload.bat или в подпапке, такой как C:\Users\username\AppData\Roaming\...), эксплойт не сработал как задумано.

Подтверждение выполнения полезной нагрузки

• Выйдите из системы и снова войдите на ВМ как пользователь uasername.
• Либо перезагрузите ВМ.
• Обратите внимание, откроется ли Калькулятор автоматически.
• Если нет, вручную дважды щёлкните payload.bat в папке автозагрузки, чтобы убедиться, что он работает.

5. Необязательное упоминание об автоматизации

Для исследователей, желающих оптимизировать процесс, описанные выше ручные шаги могут быть автоматизированы с помощью Python-скрипта.