CVE-2025-6218 | ZDI-CAN-27198 | ZDI-25-409 - Обход пути WinRAR -> Удаленное выполнение кода (RCE)

Доказательство концепции

Дополнительная информация:

Уязвимость удаленного выполнения кода при обходе каталога в RARLAB WinRAR. Эта уязвимость позволяет удаленным злоумышленникам выполнять произвольный код на затронутых установках RARLAB WinRAR. Для эксплуатации этой уязвимости требуется взаимодействие пользователя: цель должна посетить вредоносную страницу или открыть вредоносный файл.

Конкретная ошибка существует при обработке путей к файлам внутри архивных файлов. Подделанный путь к файлу может заставить процесс перейти в нежелательные каталоги. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте текущего пользователя. Это была ZDI-CAN-27198.

Опубликовано 2025-06-21 00:09:03 Обновлено 2025-06-23 20:16:22 Источник: Zero Day Initiative

Категория уязвимости: Обход каталога | Выполнение кода

Очень минимальная и простая доказательство концепции для уязвимости обхода пути CVE-2025-6218 WinRAR. (Также включено: мой набор инструментов для экспериментов с форматом RAR для тестирования уязвимости)

Цепочка от обхода пути до RCE не включена в POC, но произвольная запись файла для RCE в Windows тривиальна.

Создайте доказательство концепции:

$ python3 cve-2025-6218.py

Если вы извлечете этот архив, test.txt будет извлечен на один уровень выше текущего каталога.

Проблема возникает из-за специфического конфликта между тем, как санируются пробелы, и как проверяется обход пути в исполняемом файле WinRAR до версии 7.11:

Немного упрощенная и очищенная версия:

void file_name_check(char *a1){
  cur_filename = a1;
  j = 0;
  cur_pos = 0;
  if ( *(a1 + 4) > 0 )
  {
    offset = 0;
    while ( 1 )
    {
      if ( (cur_pos + 1) == cur_filename[2] )
        goto BREAK;
      str = cur_filename;
      if ( cur_filename[3] > 7 )
        str = *cur_filename;
      if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
      {
BREAK:
        if ( cur_pos >= 0 )
          break;
      }
LOOP_START:
      ++cur_pos;
      ++offset;
      if ( cur_pos >= *(cur_filename + 4) )
        goto LABEL_47;
    }
    while ( 1 )
    {
      if ( str[offset] != '.' )
      {
        if ( str[offset] != ' ' )
          goto LOOP_START;
      }
      if ( !cur_pos )
      {
        if ( str[offset] == ' ' )
        {
          str[offset] = '_';
          goto LOOP_START;
        }
      }
      if ( str[offset] == '.' )
      {
        if ( !cur_pos )
          goto LOOP_START;
        if ( str[offset - 1] == '\\' || str[offset - 1] == '/' )
          goto LOOP_START;
        if ( cur_pos == 2 )
        {
          if ( is_safe_character(cur_filename) )
            goto LOOP_START;
        }
        else if ( cur_pos < 1 )
        {
          goto DELETE;
        }
        if ( str[offset - 1] == '.' )
        {
          if ( cur_pos == 1 )
            goto LOOP_START;
          if ( str[offset - 2] == '\\' || str[offset - 2] == '/' || cur_pos == 3 && is_safe_character(cur_filename) )
            goto LOOP_START;
        }
      }
DELETE:
      delete_char(cur_filename, cur_pos, 1u);
      --offset;
      if ( --cur_pos < 0 )
        goto LOOP_START;
    }
  }

//...
}

После 7.12:

void __fastcall file_name_check(char **a1){
  cur_filename = a1;
  j = 0;
  if ( *(a1 + 4) > 0 )
  {
    offset = 0;
    fname_index = 1;
    do
    {
      if ( fname_index == cur_filename[2] )
        goto HANDLE_DIR_NEXT;
      str = cur_filename;
      if ( str[offset + 1] == '\\' || str[offset + 1] == '/' )
      {
HANDLE_DIR_NEXT:
        if ( offset >= 0 )
        {
          if ( str[offset] == '.' )
            goto FILENAME_BEGINS;
          if ( str[offset] == ' ' )
          {
FILENAME_BEGINS:
            if ( str[offset] != '.' )
              goto CONT;
            if ( offset )
            {
              if ( str[offset - 1] != '\\'
                && str[offset - 1] != '/'
                && (offset != 2 || !is_safe_character(cur_filename)) )
              {
                if ( str[offset - 1] != '.' )
                  goto CONT;
                if ( offset != 1 )
                {
                  if ( str[offset - 2] != '\\'
                    && str[offset - 2] != '/'
                    && (offset != 3 || !is_safe_character(cur_filename)) )
                  {
CONT:
                    str[offset] = '_';
                  }
                }
              }
            }
          }
        }
      }
      ++j;
      ++offset;
      ++fname_index;
    }
    while ( j < *(cur_filename + 4) );
  }

//...

}

CVE-2025-6218

Популярное

CVE-2025-6218 | ZDI-CAN-27198 | ZDI-25-409 - Обход пути WinRAR -> Удаленное выполнение кода (RCE)

Доказательство концепции