Bienvenido a PepRaR, un entorno de laboratorio desarrollado para validar y explotar de forma controlada las vulnerabilidades de Path Traversal e Inyeccion de Codigo Remoto en WinRAR descubiertas en 2025.
Este proyecto recrea un escenario real donde un atacante puede sobrescribir archivos críticos del sistema mediante la descompresión de un archivo malicioso, logrando en este caso el compromiso de un portal de reclutamiento de ciberseguridad.
🔐 Aviso: Este laboratorio debe ejecutarse en una instancia de Windows virtualizada o controlada, ya que realiza modificaciones en el sistema de archivos local para demostrar la PoC.
Los identificadores CVE asociados son:
- CVE-2025-8088
- CVE-2025-6218
Es importante tener en cuenta que este vector de ataque no es universal y requiere condiciones específicas para ser exitoso:
- Sistemas Afectados: Únicamente sistemas operativos Windows.
- Versiones de WinRAR: Afecta a versiones 7.12 o anteriores (se recomienda la versión incluida en este repo para la PoC).
- Modo de Extracción: El exploit solo es efectivo en extracciones realizadas mediante la interfaz gráfica (GUI). Las extracciones por línea de comandos suelen ignorar el vector de Path Traversal utilizado en esta técnica.
📁 Nota: En la carpeta
/binde este repositorio, se encuentra el instalador de la versión exacta de WinRAR utilizada en este laboratorio para garantizar que puedas replicar los resultados.
El laboratorio se divide en dos componentes principales:
- 🏢 Hefin.io Portal (Deploy_Hefin.py): Levanta un servidor Flask local (Puerto 5000) que simula un portal de RRHH. El portal permite subir "Expedientes (.rar)" que son procesados automáticamente por el motor de WinRAR en el servidor.
- 🐸 PepRaR (PepRaR.py): Script de generación de exploits que aprovecha las vulnerabilidades de WinRAR para embeber un payload de Path Traversal dentro de un archivo comprimido.
La explotación se basa en la sobrescritura de archivos lógicos del servidor:
- Reconocimiento: Se identifica que el portal guarda los archivos en una ruta conocida y utiliza un archivo de configuración llamado
creds.pypara validar el acceso al área administrativa. - Generación:
PepeGe.pygenera un archivoPepRaR.rar. Este archivo contiene un payload diseñado para "saltar" del directorio de subida y sobrescribircreds.pycon nuevas credenciales (pepe / pepe1234). - Explotación: Al subir el archivo al portal, el servidor invoca a WinRAR para extraerlo. Debido a la vulnerabilidad, el archivo se deposita fuera del área segura, reemplazando el archivo de credenciales original.
- Acceso: El atacante ahora puede ingresar al
/rrhhcon el nuevo usuario y contraseña, obteniendo Acceso Total.
Ejecuta el script de despliegue en tu instancia de Windows:
python Deploy_Hefin.py
Archivo creds.py generado por el Deploy, aca se almacenan las credenciales de acceso.En una nueva terminal, ejecutamos el script generador para crear el archivo `.rar` con el payload de **Path Traversal**:
python PepRaR.py💡 Esto creará un archivo llamado
PepRaR.rarque contiene la instrucción para sobrescribircreds.pyal ser extraído.
- Accede al portal en tu navegador:
http://localhost:5000 - Ve a la sección de "Envío de CV / Expedientes".
- Sube el archivo
PepRaR.rargenerado anteriormente. - El servidor procesará el archivo automáticamente usando WinRAR.
Una vez subido, intenta acceder al panel de administración:
- URL:
http://localhost:5000/rrhh - Usuario:
pepe - Password:
pepe1234
Si el acceso es exitoso, habrás validado la vulnerabilidad de escritura arbitraria de archivos.
Este script generador ha sido modificado e inspirado en el excelente trabajo de investigación disponible en: 🔗 https://github.com/pentestfunctions/best-CVE-2025-8088
Damos los créditos correspondientes a los investigadores originales por el descubrimiento y la documentación de este vector de ataque.
- Sistema Operativo: Windows 10/11 | Server 2019 (VM Recomendada).
- Python 3.x instalado.
- WinRAR (Versión vulnerable < 7.12).
- Librerías de Python:
pip install flask
Important
Entorno de Prueba: Este laboratorio ha sido testeado y se recomienda ejecutarlo en Windows Server 2019. Podés descargar la imagen de evaluación oficial desde el sitio de Microsoft: 🔗 Windows Server 2019 Evaluation Center
Esta herramienta se proporciona exclusivamente con fines educativos y de investigación para validar la seguridad de sistemas frente a los CVE-2025-8088 y CVE-2025-6218. El autor no se responsabiliza por usos indebidos fuera de entornos controlados.
Adaptado por Hefin.net – 2026