Una vulnerabilidad recientemente descubierta en WinRAR de RARLAB, la herramienta de compresión de larga trayectoria para Windows, ha expuesto a millones de usuarios a una grave falla Path Traversal que podría provocar la ejecución remota de código (RCE).

La herramienta de compresión de archivos WinRAR lanzó la versión 7.12, que corrige una vulnerabilidad crítica que permite alterar las rutas de extracción de archivos comprimidos .rar maliciosos. Esta falla, identificada como CVE-2025-6218 y con un puntaje de 7.8 en la escala de severidad CVSS, habilitaba la ejecución instantánea de malware, o permitía que este se ejecute en un nuevo inicio de Windows. Según explica el reporte de WinRAR, el fallo afecta a versiones basadas en Windows.

WinRAR corrige vulnerabilidad que permite ejecutar malware a través de archivos comprimidos

Identificada como CVE-2025-6218 y con una calificación CVSS de 7.8, esta vulnerabilidad podría permitir a un atacante ejecutar código arbitrario en el equipo de la víctima simplemente al obligarla a abrir un archivo comprimido especialmente diseñado. "Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de WinRAR de RARLAB", advierte el aviso de ZeroDayInitiative.

La raíz del problema reside en cómo WinRAR procesa las rutas dentro de los archivos comprimidos. La falla reside en una validación insuficiente al extraer las entradas del archivo, concretamente en la imposibilidad de depurar correctamente los valores de las rutas creadas.

Al incluir secuencias de recorrido de directorio (como ../) en la ruta de un archivo, un atacante puede provocar que WinRAR extraiga archivos a ubicaciones inesperadas en el sistema de la víctima. "La falla específica se encuentra en el manejo de las rutas de archivo dentro de los archivos comprimidos. Una ruta de archivo manipulada puede provocar que el proceso acceda a directorios no deseados", explica el aviso.

Una vez que el atacante escribe con éxito un archivo en un directorio sensible, como una carpeta de inicio o una ruta ejecutable del sistema, puede desencadenar la ejecución de código arbitrario cuando la víctima abre o reinicia el sistema.

Esta vulnerabilidad requiere una pequeña pero peligrosa interacción del usuario. Para explotarla, los atacantes deben convencer a la víctima de que abra un archivo comprimido malicioso, un escenario que se logra fácilmente mediante phishing, malvertising o descargas no autorizadas.

La carga maliciosa suele camuflarse como un archivo comprimido legítimo, ocultando el exploit dentro de contenido aparentemente inofensivo.

RARLAB respondió rápidamente al descubrimiento y la falla se ha solucionado en WinRAR 7.12 Beta 1. Se recomienda encarecidamente a los usuarios que actualicen su sistema inmediatamente para garantizar la protección contra esta y otras vulnerabilidades potencialmente no reveladas.

Qué tipo de vulnerabilidad es la CVE-2025-6218

La vulnerabilidad detectada es del tipo directory traversal —Directory Traversal Remote Code Execution Vulnerability (ZDI-CAN-27198)— que permite que los archivos maliciosos contenidos en un comprimido se extraigan en rutas manipuladas. Sin importar la ruta de extracción que el usuario indique, los archivos se extraen en ubicaciones sensibles, como la carpeta de inicio automático.

Aunque la explotación requiere que el usuario interactúe con el archivo (por ejemplo, abriéndolo o accediendo a una página web manipulada), una vez descomprimido, el código malicioso puede ejecutarse sin necesidad de privilegios de administrador.

Si bien requiere indefectiblemente de la interacción del usuario —que abra el archivo, o que visite una web manipulada—, una vez descomprimido y alojado en las rutas manipuladas, se ejecuta sin necesidad de privilegios de administrador.

Antecedentes de vulnerabilidades WinRAR explotadas

No es la primera vez que se reporta una vulnerabilidad importante en WinRAR que luego es utilizada por cibercriminales para realizar ataques.

En 2019, una vulnerabilidad crítica en este software fue aprovechada por grupos de ransomware para distribuir archivos maliciosos con este tipo de malware. También, han circulado en varios foros herramientas que permitían crear archivos maliciosos personalizados en formato .rar con el malware que el operador de la herramienta elija.

Más acá en el tiempo, en 2023, una vulnerabilidad zero day en WinRAR (CVE-2023-38831) fue utilizada activamente por cibercriminales para distribuir distintos tipos de familias de malware, como troyanos de acceso remoto.

Fuente: SecurityOnline

Vía:

https://www.welivesecurity.com/es/seguridad-digital/winrar-corrige-vulnerabilidad-permite-comprimidos-ejecutar-malware/

https://blog.segu-info.com.ar/2025/06/vulnerabilidad-grave-en-winrar-permite.html