Los desarrolladores de WinRAR han lanzado una actualización para corregir una vulnerabilidad de día cero que está siendo explotada activamente.
Registrado como CVE-2025-8088 (puntuación CVSS: 8,8), el problema se ha descrito como un caso de traversal de ruta que afecta a la versión para Windows de la herramienta y que podría explotarse para obtener la ejecución de código arbitrario mediante la creación de archivos maliciosos.
"Al extraer un archivo, las versiones anteriores de WinRAR, las versiones para Windows de RAR, UnRAR, el código fuente portátil de UnRAR y UnRAR.dll pueden ser engañadas para que utilicen una ruta, definida en un archivo especialmente creado, en lugar de una ruta especificada", afirmó WinRAR en un aviso.
Anton Cherepanov, Peter Kosinar y Peter Strycek, de ESET, han sido reconocidos por descubrir y notificar el defecto de seguridad, que se ha solucionado en la versión 7.13 de WinRAR, lanzada el 31 de julio de 2025.
Actualmente se desconoce cómo se está utilizando esta vulnerabilidad en ataques reales y quiénes son los responsables. En 2023, otra vulnerabilidad que afectaba a WinRAR (CVE-2023-38831, puntuación CVSS: 7,8) fue objeto de una intensa explotación, incluso como vulnerabilidad de día cero, por parte de múltiples actores maliciosos de China y Rusia.
El proveedor ruso de ciberseguridad BI.ZONE, en un informe publicado la semana pasada, afirmó que hay indicios de que el grupo de hackers conocido como Paper Werewolf (también conocido como GOFFEE) podría haber aprovechado CVE-2025-8088 junto con CVE-2025-6218, un error de traversal de directorios en la versión para Windows de WinRAR que se corrigió en junio de 2025.
Es importante señalar que, antes de estos ataques, un actor malicioso identificado como "zeroplayer" fue visto anunciando el 7 de julio de 2025 un supuesto exploit de día cero de WinRAR en el foro en ruso de la dark web Exploit.in por un precio de 80 000 dólares. Se sospecha que los actores de Paper Werewolf podrían haberlo adquirido y utilizado para sus ataques.
"En versiones anteriores de WinRAR, así como en RAR, UnRAR, UnRAR.dll y el código fuente portátil de UnRAR para Windows, se podía utilizar un archivo especialmente diseñado que contenía código arbitrario para manipular las rutas de los archivos durante la extracción", afirmó WinRAR en una alerta sobre CVE-2025-6218 en ese momento.
"Se requiere la interacción del usuario para explotar esta vulnerabilidad, lo que podría provocar que los archivos se escribieran fuera del directorio previsto. Esta falla podría explotarse para colocar archivos en ubicaciones sensibles, como la carpeta de inicio de Windows, lo que podría dar lugar a la ejecución involuntaria de código en el siguiente inicio de sesión del sistema".
Según BI.ZONE, los ataques se dirigieron a organizaciones rusas en julio de 2025 a través de correos electrónicos de phishing que contenían archivos trampa que, al ejecutarse, activaban CVE-2025-6218 y probablemente CVE-2025-8088 para escribir archivos fuera del directorio de destino y lograr la ejecución de código, mientras que se presentaba un documento señuelo a la víctima como distracción.
"La vulnerabilidad está relacionada con el hecho de que, al crear un archivo RAR, se puede incluir un archivo con flujos de datos alternativos, cuyos nombres contienen rutas relativas", explicó BI.ZONE. "Estos flujos pueden contener cargas útiles arbitrarias. Al descomprimir dicho archivo o abrir un archivo adjunto directamente desde el archivo, los datos de los flujos alternativos se escriben en directorios arbitrarios del disco, lo que constituye un ataque de traversal de directorios".
"La vulnerabilidad afecta a las versiones de WinRAR hasta la 7.12 inclusive. A partir de la versión 7.13, esta vulnerabilidad ya no se reproduce".
Una de las cargas maliciosas en cuestión es un cargador .NET diseñado para enviar información del sistema a un servidor externo y recibir malware adicional, incluido un ensamblado .NET cifrado.
"Paper Werewolf utiliza el cargador C# para obtener el nombre del ordenador de la víctima y enviarlo en el enlace generado al servidor para obtener la carga útil", añadió la empresa. «Paper Werewolf utiliza sockets en el shell inverso para comunicarse con el servidor de control".
Fuente: thehackernews