Анализ безопасности: Эксплуатация Path Traversal в WinRAR (CVE-2025-8088)

Примечание: Репозиторий находится в разработке. В будущем проект получит обновления с дополнительными анализами, скриптами для анализа (не эксплойтами) и материалами для презентаций. Новые версии будут публиковаться по мере готовности.

Этот репозиторий документирует анализ, процесс изучения и доказательство концепции (PoC) для уязвимости Directory Traversal (CWE-35) в WinRAR (CVE-2025-8088).

Ошибка затрагивает версии WinRAR для Windows до 7.13 и классифицирована как имеющая высокую степень серьёзности (Base Score 8.8).

I. Процесс заражения: От ZIP-файла к произвольному коду

Успех CVE-2025-8088 заключается в простоте необходимого взаимодействия со стороны жертвы: выполнение кода запускается простой распаковкой вредоносного файла.

Простой вектор атаки

Социальная инженерия (фишинг): Такие угрозы, как RomCom и Paper Werewolf, использовали эту уязвимость в кампаниях целевого фишинга (spear phishing).
Приманка (Decoy): Злоумышленники отправляли вредоносные RAR-файлы, замаскированные под легитимные документы, например резюме или финансовые отчёты.
Действие пользователя: Жертва, пытаясь получить доступ к содержимому, извлекает вредоносный RAR-файл с помощью уязвимой версии WinRAR (≤ 7.12).
Скрытая эксплуатация: Во время извлечения, вместо того чтобы файл был помещён в ожидаемый целевой каталог, ошибка Path Traversal заставляет WinRAR записать payload (вредоносный код) в критическую папку операционной системы.

Последствие: постоянство в операционной системе

Основной целью эксплойта является папка автозагрузки Windows (AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\).

Когда уязвимый WinRAR распаковывает файл, payload помещается в папку Startup.
При следующем входе пользователя (после перезагрузки или выхода из системы) payload автоматически выполняется, обеспечивая постоянство.

Эта схема использовалась такими группами угроз, как RomCom, для внедрения бэкдоров, предоставлявших полный доступ к скомпрометированным компьютерам.

II. Процессы изучения и технического анализа для эксплуатации

Разработка надёжного доказательства концепции требует углублённого изучения бинарных структур формата RAR и особенностей операционной системы Windows.

1. Манипуляция заголовками RAR 5.0

Уязвимость эксплуатируется путём манипуляции заголовками RAR-файла. Злоумышленники не могут просто переименовать файл; они должны заставить WinRAR принять вредоносный путь, который хранится в структуре файла.

Структура файлов: Для изучения требуется понимание того, как форматируются блоки данных, такие как File header и Service header. Изменяются поле Name length и поле Name (содержащее путь) внутри заголовка файла.
Бинарный патчинг: Скрипт эксплойта применяет патчи к заголовкам RAR, чтобы внедрить последовательность path traversal (..\..\..\).
Целостность файла: Чтобы изменённый файл выглядел допустимым для WinRAR, скрипту необходимо пересчитывать контрольные суммы CRC (Cyclic Redundancy Checksums). Такого рода бинарные манипуляции часто выполняются с помощью таких модулей, как struct в Python, который используется для интерпретации байтов как упакованных бинарных данных.

2. Стратегия многоуровневого обхода

Исследование показало, что серьёзной проблемой для эксплуатации была неопределённость относительно точного каталога извлечения (Desktop, Downloads и т. д.).

Решение исследования: Была разработана Стратегия многоуровневого обхода.
Принцип работы: Эксплойт создаёт несколько файлов-приманок (например, 20 файлов File.txt). Каждый файл настроен на попытку прохода через разное количество родительских каталогов (например: ..\Startup\payload.bat, затем ..\..\Startup\payload.bat, и так далее до 20 уровней глубины).
Преимущество: Такая избыточность гарантирует, что независимо от глубины каталога, в который жертва извлекает файл, по крайней мере один из payload'ов достигнет фиксированного места назначения (папки Startup в Windows).

3. Скрытность через Alternate Data Streams (ADS)

Чтобы скрытно внедрить payload, исследование использует эксклюзивную функцию файловой системы NTFS в Windows: Alternate Data Streams (ADS).

Payload (batch-скрипт или исполняемый файл) присоединяется к файлу-приманке (например, профессионально оформленному PDF) через ADS.
Использование ADS и специфических путей Windows, таких как RELATIVE_DROP_PATH, является основной причиной того, почему генерация эксплойта требует среды Windows.

III. Защитные меры

Уязвимость CVE-2025-8088 активно эксплуатировалась (in the wild) и внесена в каталог KEV (Known Exploited Vulnerabilities) агентства CISA.

Наиболее критичной защитой является обновление, поскольку эксплуатация зависит от устаревшего программного обеспечения:

Обновите WinRAR до версии 7.13 или выше.
Отключите извлечение файлов из ненадёжных источников.
Следите за журналами безопасности, чтобы обнаруживать несанкционированные записи в папках автозагрузки Windows.

Аналогия для изучения: Представьте RAR-файл как почтовую посылку. Path Traversal — это как заполнение адреса доставки повторяющимися командами "вернуть отправителю" (../). Техническое исследование заключалось в выяснении того, какая именно часть ярлыка посылки (заголовок RAR) должна быть изменена и сколько команд "вернуть" потребуется (стратегия многоуровневого обхода), чтобы гарантировать, что независимо от того, откуда почта (WinRAR) начинает движение, пакет будет доставлен в хранилище (папку Startup). Простое действие "принять посылку" (распаковать) гарантирует заражение.

CVE-2025-8088

Популярное