Złośliwe archiwum? Luka CVE-2025-6218 umożliwia cichy atak przy rozpakowywaniu
Popularne narzędzie do kompresji plików WinRAR zostało zaktualizowane po wykryciu poważnej luki bezpieczeństwa oznaczonej jako CVE-2025-6218. Błąd umożliwiał atakującym przygotowanie specjalnie spreparowanego archiwum RAR, które podczas rozpakowywania potrafiło „oszukać” program, by pliki zostały wypakowane nie tam, gdzie wskazał użytkownik, lecz np. do folderów systemowych lub autostartu Windows. To szczególnie niebezpieczne, ponieważ po ponownym uruchomieniu systemu złośliwe pliki mogły aktywować się automatycznie, bez wiedzy użytkownika. Choć wykonywałyby się z uprawnieniami użytkownika, a nie administratora, nadal mogłyby kraść dane, np. hasła, pliki cookie czy umożliwiać dalszy dostęp do komputera.
Luka ujawniona i załatana – ale ryzyko pozostaje
Luka została zgłoszona 5 czerwca 2025 r. przez badacza o pseudonimie whs3-detonator za pośrednictwem platformy Zero Day Initiative. Oceniono ją jako wysokiego ryzyka (CVSS 7.8). Błąd dotyczył tylko systemu Windows – wersji WinRAR 7.11 i wcześniejszych. Łatka została wydana w wersji 7.12 beta 1, która już eliminuje lukę. Co ważne, oprogramowanie UnRAR (m.in. dla systemów Linux i macOS) również było podatne, choć podatność nie dotyczyła systemów innych niż Windows – mimo wszystko producent zaleca aktualizację wszystkim użytkownikom, niezależnie od platformy.
Dodatkowe poprawki w nowej wersji WinRAR
Oprócz kluczowej poprawki CVE-2025-6218, wersja 7.12 beta 1 łata również inne problemy:
Wstrzykiwanie kodu HTML do raportów – nazwy plików zawierające znaki
<lub>mogły być interpretowane jako surowy kod HTML w raportach, co potencjalnie umożliwiało ataki typu HTML/JS injection, jeśli raport był otwierany w przeglądarce.Błąd testowania woluminów odzyskiwania – uniemożliwiał pełną weryfikację integralności danych.
Utrata precyzji znacznika czasu – dotyczyła rekordów systemu Unix.
Co powinieneś zrobić jako użytkownik?
Jeśli korzystasz z WinRAR:
Sprawdź aktualnie zainstalowaną wersję (Menu > Pomoc > O programie).
Natychmiast zaktualizuj do wersji 7.12 beta 1 dostępnej na stronie producenta.
Nie otwieraj nieznanych archiwów – nawet jeśli pochodzą z pozornie zaufanego źródła.
Nie używaj archiwów jako formy instalatorów oprogramowania pobranego z nieoficjalnych źródeł.
Skonfiguruj WinRAR tak, aby nie wyodrębniał plików automatycznie do katalogów systemowych.
Choć luka CVE-2025-6218 wymaga aktywnego działania użytkownika, jej potencjał jest bardzo niebezpieczny – atakujący mogą uruchomić złośliwe oprogramowanie „z automatu” po rozpakowaniu archiwum. Brak aktualizacji programu może narazić system na infekcję bez widocznych oznak, aż do uruchomienia złośliwego pliku. Wersja 7.12 beta 1 eliminuje problem – nie czekaj, zaktualizuj WinRAR już teraz.
