CVE-2025-8088 WinRAR: Подтверждение концепции (PoC-эксплойт)

Этот репозиторий содержит скрипт подтверждения концепции (PoC) для CVE-2025-8088 — уязвимости path traversal в WinRAR версий до 7.12.
Данный PoC демонстрирует, как злоумышленники могут использовать уязвимость для размещения вредоносных файлов за пределами предполагаемой директории извлечения, применяя альтернативные потоки данных (ADS) и специально созданные архивные файлы.

Отказ от ответственности: Этот инструмент предназначен только для образовательных и исследовательских целей. Не используйте его для нанесения вреда системам или сетям. Автор не несёт ответственности за неправильное использование или ущерб, причинённый данным скриптом.

Обзор CVE-2025-8088

CVE-2025-8088 (CVSS 8.4) — это уязвимость path traversal в WinRAR, затрагивающая версии для Windows до 7.12, а также связанные инструменты, такие как UnRAR.dll и его портативный исходный код.
Недостаток позволяет злоумышленникам встраивать вредоносные полезные нагрузки в ADS внутри специально созданных RAR-файлов, что позволяет извлекать их в чувствительные системные расположения (например, папку автозагрузки Windows).
Это может привести к автоматическому выполнению вредоносных файлов, таких как DLL или файлы ярлыков (.lnk), при перезагрузке системы.

Ключевые детали

• Затронутые версии: WinRAR ≤ 7.12
• Первое обнаружение: Эксплуатация в дикой природе началась 18 июля 2025 года (по данным ESET)
• Доступность исправления: Исправлено в WinRAR 7.13, выпущенном 30 июля 2025 года
• Атакующие: Связана с пророссийской группой RomCom (также известной как Storm-0978, Tropical Scorpius, UNC2596), занимающейся кибершпионажем и атаками с финансовой мотивацией
• Метод атаки: Фишинговые письма с RAR-файлами, замаскированными под заявки на работу, targeting finance, defense, manufacturing, and logistics sectors in Europe and Canada

Как работает эксплойт

Эксплойт использует последовательности path traversal (..) в путях ADS внутри RAR-архива.
Безобидный с виду файл (например, резюме) маскирует вредоносные записи ADS, которые могут включать:

Использование PoC

Этот скрипт создаёт вредоносный RAR-архив для демонстрации уязвимости CVE-2025-8088.
Для работы требуется Python и доступ к rar.exe (командная строка WinRAR).

Убедитесь, что rar.exe находится в вашем системном PATH, или укажите путь к нему с помощью аргумента --rar.

Аргументы командной строки

Пример использования

Создайте вредоносный RAR-архив с файлом-приманкой, нагрузкой и целевой папкой, указав путь к rar.exe:

python poc.py --decoy resume.txt --payload payload.bat --drop "C:\Users\you\Documents" --rar "C:\Program Files\WinRAR\rar.exe"

Атрибуция

Эта уязвимость была впервые обнаружена в дикой природе компанией ESET 18 июля 2025 года и приписывается хакерской группе RomCom.
Для получения дополнительной информации о тактиках RomCom см. SOCRadar Threat Actor Intelligence.