CVE-2025-8088
RARLAB WinRAR Path Traversal Vulnerability
Beschreibung
CVE-2025-8088 ist eine Path Traversal-Schwachstelle in der Windows-Version von RARLAB WinRAR, einem der weltweit am haeufigsten verwendeten Archivierungsprogramme. Durch das Oeffnen einer manipulierten Archivdatei kann ein Angreifer beliebigen Code auf dem System des Opfers ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 8.8 (HIGH) bewertet und wurde bereits als Zero-Day in gezielten Angriffen durch mindestens zwei Bedrohungsgruppen ausgenutzt.
Die CISA hat CVE-2025-8088 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2. September 2025. Der EPSS-Score von 3.83 % (88. Perzentil) zeigt eine erhoehte Ausnutzungswahrscheinlichkeit. Die Schwachstelle wurde von ESET-Forschern entdeckt, die bestaetigt haben, dass sie bereits vor der Veroeffentlichung des Patches aktiv ausgenutzt wurde.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| rarlab | winrar | < 7.13 |
| dtsearch | dtsearch | < 2023.01 |
Referenzen
- https://www.win-rar.com/singlenewsview.html?&L=0&tx_ttnews%5Btt_news%5D=283&cHash=a64b4a8f662d3639dec8d65f47bc93c5(Release Notes)
- https://arstechnica.com/security/2025/08/high-severity-winrar-0-day-exploited-for-weeks-by-2-groups/(Press/Media Coverage)
- https://support.dtsearch.com/faq/dts0245.htm(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-8088-detect-winrar-zero-day(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-8088-mitigate-winrar-zero-day-using-srp-and-ifeo(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-8088(US Government Resource)
- https://www.welivesecurity.com/en/eset-research/update-winrar-tools-now-romcom-and-others-exploiting-zero-day-vulnerability/#the-discovery-of-cve-2025-8088(Press/Media Coverage)
Schwachstellentyp
CWE-35: Path Traversal
CVE-2025-8088 basiert auf CWE-35 (Path Traversal), einer Schwachstellenklasse, bei der Dateipfade in Archiven so manipuliert werden, dass Dateien ausserhalb des vorgesehenen Verzeichnisses extrahiert werden. Im Fall von WinRAR kann ein Angreifer durch speziell praeparierte Archivdateien ausfuehrbare Dateien an beliebige Speicherorte auf dem Zielsystem schreiben, was zur Ausfuehrung von beliebigem Code fuehrt.
Mehr erfahren: CWE-35 — Path Traversal
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-8088 sind aufgrund der enormen Verbreitung von WinRAR besonders weitreichend. Der CVSS v3.1-Score von 8.8 (HIGH) mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass keine Authentifizierung erforderlich ist — lediglich die Benutzerinteraktion des Oeffnens einer manipulierten Archivdatei genuegt. Vertraulichkeit (High): Der Angreifer erhaelt Zugriff auf das Dateisystem des Opfers und kann vertrauliche Dokumente, Zugangsdaten und persoenliche Daten exfiltrieren. Integritaet (High): Durch die Codeausfuehrung kann der Angreifer beliebige Software installieren, Malware einschleusen und Systemdateien veraendern. Verfuegbarkeit (High): Der Angreifer kann das System vollstaendig uebernehmen, einschliesslich der Installation von Ransomware oder der Verschluesselung von Dateien. Der EPSS-Score von 3.83 % im 88. Perzentil in Kombination mit der bestaetigt aktiven Ausnutzung durch mindestens zwei Bedrohungsgruppen macht diese Schwachstelle zu einer akuten Gefahr.
Exploit-Reifegrad
CVE-2025-8088 weist eine sehr hohe Exploit-Reife auf. Die Schwachstelle wurde als Zero-Day in gezielten Angriffen ausgenutzt, bevor ein Patch verfuegbar war, wie ESET-Forscher Anton Cherepanov, Peter Kosinar und Peter Strycek bestaetigt haben. Die CISA hat CVE-2025-8088 im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 2. September 2025. Laut Berichterstattung von Ars Technica wurde die Schwachstelle ueber Wochen hinweg von mindestens zwei unabhaengigen Gruppen ausgenutzt. Der EPSS-Score von 3.83 % (88. Perzentil) bestaetigt die aktive Ausnutzung. Detaillierte Informationen zur Erkennung und Mitigation sind bei Vicarius verfuegbar. Der Ransomware-Status ist als Unknown klassifiziert, jedoch ist die Faehigkeit zur Codeausfuehrung ein typischer Vektor fuer Ransomware-Kampagnen.
Behebung
-
WinRAR auf Version 7.13 oder hoeher aktualisieren: RARLAB hat mit Version 7.13 die Path Traversal-Schwachstelle behoben. Alle WinRAR-Installationen vor Version 7.13 muessen umgehend aktualisiert werden. Laden Sie das Update ausschliesslich von der offiziellen WinRAR-Website herunter.
-
DtSearch auf Version 2023.01 oder hoeher aktualisieren: Auch DtSearch-Versionen vor 2023.01 sind von der Schwachstelle betroffen und muessen aktualisiert werden.
-
E-Mail-Anhaenge und Archivdateien mit erhoehter Vorsicht behandeln: Bis zur vollstaendigen Aktualisierung aller Systeme sollten Benutzer keine Archivdateien aus unbekannten oder verdaechtigen Quellen oeffnen. Implementieren Sie E-Mail-Gateway-Regeln, die Archivdateien besonders pruefen.
-
Software Restriction Policies (SRP) einsetzen: Konfigurieren Sie Windows-Richtlinien, die die Ausfuehrung von Code aus temporaeren Verzeichnissen und typischen Extraktionszielen einschraenken, um die Ausnutzung zu erschweren. Vicarius bietet hierzu detaillierte Anleitungen.
-
Endpoint Detection and Response (EDR) ueberwachen: Ueberpruefen Sie EDR-Logs auf verdaechtige Aktivitaeten im Zusammenhang mit WinRAR-Prozessen, insbesondere Dateischreibvorgaenge ausserhalb des erwarteten Extraktionsverzeichnisses.
Technische Details
CVE-2025-8088 betrifft die Windows-Version von WinRAR vor Version 7.13. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar ist. Es sind keine Privilegien erforderlich (PR:N), jedoch muss ein Benutzer die manipulierte Archivdatei oeffnen (UI:R).
Die Schwachstelle basiert auf Path Traversal (CWE-35) bei der Verarbeitung von Archivdateien. Ein Angreifer kann speziell praeparierte Archive erstellen, in denen Dateipfade so manipuliert sind, dass Dateien beim Extrahieren ausserhalb des vorgesehenen Zielverzeichnisses abgelegt werden. Durch das Platzieren ausfuehrbarer Dateien in strategischen Systemverzeichnissen — beispielsweise im Windows-Autostart-Ordner oder in Verzeichnissen, die in der PATH-Umgebungsvariable enthalten sind — wird die Ausfuehrung von Schadcode bei der naechsten Anmeldung oder Programmausfuehrung ausgeloest.
Der Scope bleibt unveraendert (S:U), und alle drei Impact-Metriken stehen auf High. Die Schwachstelle wurde von ESET als Zero-Day entdeckt, was darauf hindeutet, dass Angreifer bereits vor der Veroeffentlichung des Patches funktionierenden Exploit-Code entwickelt hatten. Die weite Verbreitung von WinRAR mit geschaetzten 500 Millionen Nutzern weltweit macht diese Schwachstelle besonders attraktiv fuer breit angelegte Angriffskampagnen.
Häufig gestellte Fragen
Wird CVE-2025-8088 aktiv ausgenutzt?
Ja, CVE-2025-8088 wurde bereits als Zero-Day ausgenutzt, bevor ein Patch verfuegbar war. Laut ESET-Forschern und Medienberichten haben mindestens zwei unabhaengige Bedrohungsgruppen die Schwachstelle ueber Wochen hinweg in gezielten Angriffen eingesetzt. Die CISA hat die aktive Ausnutzung im KEV-Katalog bestaetigt.
Welche Produkte sind von CVE-2025-8088 betroffen?
Betroffen sind alle Windows-Versionen von RARLAB WinRAR vor Version 7.13 sowie DtSearch vor Version 2023.01. WinRAR ist eines der weltweit am haeufigsten verwendeten Archivierungsprogramme mit geschaetzten 500 Millionen Nutzern.
Wie behebe ich CVE-2025-8088?
Aktualisieren Sie WinRAR umgehend auf Version 7.13 oder hoeher. Laden Sie das Update nur von der offiziellen WinRAR-Website herunter. Bis zum Update sollten Sie keine Archivdateien aus unbekannten Quellen oeffnen und Software Restriction Policies konfigurieren, die die Codeausfuehrung aus Extraktionsverzeichnissen einschraenken.
Wie schwerwiegend ist CVE-2025-8088?
CVE-2025-8088 wird mit einem CVSS v3.1-Score von 8.8 als HIGH eingestuft. Die Path Traversal-Schwachstelle ermoeglicht beliebige Codeausfuehrung durch das Oeffnen manipulierter Archive. Die bestaetigt aktive Ausnutzung als Zero-Day durch mehrere Bedrohungsgruppen macht diese Schwachstelle besonders dringlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.